🇰🇷 한글 설명
Lemmy 0.19.18 이전 버전에서는 인증된 저권한 사용자가 POST /api/v3/post로 링크 게시물을 생성할 때 백엔드가 공격자가 지정한 링크 대상으로 Webmention을 비동기 전송합니다. 이때 루프백, 사설망, 링크로컬 주소에 대한 검사가 없어 서버 측 요청 위조(SSRF)가 가능합니다. 이 문제는 0.19.18 버전에서 패치되었습니다.
💡 쉬운 설명
일반 사용자가 게시물을 올릴 때 서버가 사용자가 지정한 주소로 대신 접속하게 만들 수 있습니다. 이를 이용하면 외부에서 직접 접근할 수 없는 내부 서비스 정보를 엿볼 수 있습니다.
🇺🇸 원문 (English)
Lemmy is a link aggregator and forum for the fediverse. Prior to version 0.19.18, Lemmy allows an authenticated low-privileged user to create a link post through POST /api/v3/post. When a post is created in a public community, the backend asynchronously sends a Webmention to the attacker-controlled link target. The submitted URL is checked for syntax and scheme, but the audited code path does not reject loopback, private, or link-local destinations before the Webmention request is issued. This lets a normal user trigger server-side HTTP requests toward internal services. This issue has been patched in version 0.19.18.
📍 영향받는 시스템
Lemmy 0.19.18 미만 버전 (Fediverse 링크 집계 및 포럼 서버)
⚔️ 공격 벡터
일반 계정으로 공개 커뮤니티에 링크 게시물을 작성하면서 내부 IP(예: 127.0.0.1, 사설 대역)를 링크로 지정
🛡️ 대응 방법
Lemmy를 0.19.18 이상으로 업그레이드하고, 내부 네트워크 접근을 방화벽으로 제한
🔧 검증 코드
출력된 버전이 0.19.18 미만이면 취약하므로 업그레이드가 필요하고, 0.19.18 이상이면 패치가 적용된 상태입니다.
docker exec lemmy lemmy_server --version 2>/dev/null || grep -rE '^version' /opt/lemmy/Cargo.toml 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
💻 영향받는 소프트웨어
Windows iSCSI Target Service