🇰🇷 한글 설명
Wallos는 자체 호스팅 가능한 오픈소스 구독 관리 도구입니다. 4.8.4 이하 버전에서는 웹훅 알림 기능이 관리자가 설정한 로컬 대상 허용 목록을 모든 로그인 사용자에게 그대로 재사용하여, 일반 사용자가 웹훅 URL, 헤더, 본문을 임의로 조작해 서버 측 요청을 내부 자동화 서비스로 보낼 수 있습니다. 해당 서비스가 배포 또는 실행 API를 노출하는 경우 인접 서비스에 대한 원격 코드 실행으로 이어질 수 있으나 이는 대상 서비스에 따라 달라집니다. 발행 시점 기준 공개된 패치는 없습니다.
💡 쉬운 설명
일반 사용자도 Wallos 서버가 내부 시스템에 요청을 보내도록 조종할 수 있는 문제입니다. 내부 자동화 도구가 위험한 기능을 제공한다면 추가 피해로 이어질 수 있습니다.
🇺🇸 원문 (English)
Wallos is an open-source, self-hostable personal subscription tracker. In versions 4.8.4 and prior, the webhook notification feature reuses an administrator-configured local-target allowlist for every logged-in user. Any normal user can fully control a webhook URL, headers, and body, then use Wallos to send server-side requests to allowlisted internal automation services. When such a target exposes deployment or execution APIs, this can further enable adjacent-service RCE, but that downstream result is conditional on the target service. At time of publication, there are no publicly available patches.
📍 영향받는 시스템
Wallos 4.8.4 이하 버전 (웹훅 알림 기능 사용 시)
⚔️ 공격 벡터
일반 계정으로 로그인 후 웹훅 설정에서 URL, 헤더, 본문을 조작해 서버를 통해 허용된 내부 서비스에 요청 전송 (SSRF 유형)
🛡️ 대응 방법
공개 패치가 없으므로 웹훅 기능을 비활성화하거나 내부 허용 대상 목록을 최소화하고, 내부 자동화 서비스에 인증을 강화하며 패치 출시를 모니터링합니다.
🔧 검증 코드
Wallos 컨테이너 이미지가 출력되면 설치되어 있는 것이며, 이후 이미지 태그나 설정 파일의 버전을 확인해 4.8.4 이하인지 판단합니다.
docker ps --format '{{.Image}}' 2>/dev/null | grep -i wallos
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:L
💻 영향받는 소프트웨어
Windows iSCSI Target Service