🇰🇷 한글 설명
Craft CMS의 특정 버전에서 `resource-js` 엔드포인트가 인증되지 않은 요청을 통해 원격 JavaScript 리소스를 프록시할 수 있는 취약점이 발견되었습니다. 공격자가 Host 헤더를 조작하여 서버가 임의의 HTTP 요청을 보내도록 유도함으로써 서버 측 요청 위조(SSRF) 공격이 가능합니다.
💡 쉬운 설명
웹사이트 설정 오류를 이용해 해커가 서버를 조종하여 다른 내부 시스템에 몰래 접속하게 만드는 공격입니다. 공격자가 가짜 주소를 보내면 서버가 이를 진짜로 믿고 잘못된 곳으로 데이터를 요청하게 됩니다.
🇺🇸 원문 (English)
Craft CMS is a content management system (CMS). In versions on the 4.x branch through 4.17.8 and the 5.x branch through 5.9.14, the `resource-js` endpoint in Craft CMS allows unauthenticated requests to proxy remote JavaScript resources.
When `trustedHosts` is not explicitly restricted (default configuration), the application trusts the client-supplied Host header. This allows an attacker to control the derived `baseUrl`, which is used in prefix validation inside `actionResourceJs()`. By supplying a malicious Host header, the attacker can make the server issue arbitrary HTTP requests, leading to Server-Side Request Forgery (SSRF). Versions 4.17.9 and 5.9.15 patch the issue.
📍 영향받는 시스템
Craft CMS 4.x (4.17.8 이하) 및 5.x (5.9.14 이하)
⚔️ 공격 벡터
조작된 Host 헤더를 포함한 요청을 `resource-js` 엔드포인트로 전송하여 SSRF 유도
🛡️ 대응 방법
Craft CMS를 4.17.9 또는 5.9.15 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 4.17.9 미만 또는 5.9.15 미만인지 확인하여 취약 여부 판단
composer show craft/cms | grep 'versions'
💻 영향받는 소프트웨어
IBM WebSphere Application Server