🇰🇷 한글 설명
Wallos는 자가 호스팅 가능한 오픈소스 개인 구독 관리 도구입니다. 4.8.4 이하 버전에서는 웹훅 URL의 SSRF 수정이 불완전하여, 11개의 외부 HTTP 엔드포인트 중 10개에서 gethostbyname()으로 검증한 원본 호스트명을 cURL에 그대로 전달하며 CURLOPT_RESOLVE 고정을 적용하지 않아 DNS 리바인딩 TOCTOU 공격 창이 존재합니다. 공개 시점 기준 이용 가능한 패치가 없습니다.
💡 쉬운 설명
Wallos가 외부 주소로 요청을 보낼 때 주소 검증과 실제 접속 사이에 주소를 바꿔치기할 수 있는 허점이 있습니다. 공격자는 이를 이용해 서버가 내부 네트워크에 접근하도록 속일 수 있습니다.
🇺🇸 원문 (English)
Wallos is an open-source, self-hostable personal subscription tracker. In versions 4.8.4 and prior, the incomplete SSRF fix in Wallos validates webhook URLs via gethostbyname() but passes the original hostname to cURL without CURLOPT_RESOLVE pinning on 10 of 11 outbound HTTP endpoints, leaving a DNS rebinding TOCTOU window. At time of publication, there are no publicly available patches.
📍 영향받는 시스템
Wallos 4.8.4 이하 버전 (자가 호스팅 환경)
⚔️ 공격 벡터
공격자가 DNS 리바인딩을 이용해 웹훅 검증 통과 후 실제 요청 시점에 내부 IP(예: 127.0.0.1, 사설망)로 주소를 전환하여 SSRF를 수행
🛡️ 대응 방법
패치가 없으므로 Wallos 웹훅 기능을 비활성화하거나, 관리 페이지 접근을 신뢰된 사용자로 제한하고 아웃바운드 방화벽으로 내부 대역 접근을 차단
🔧 검증 코드
출력된 버전이 4.8.4 이하이면 취약하며, 패치가 나오기 전까지 웹훅 비활성화 및 내부 대역 아웃바운드 차단 조치가 필요합니다.
docker exec wallos cat /var/www/html/includes/version.php 2>/dev/null | grep -i version