🇰🇷 한글 설명
FireFighter 사고 관리 애플리케이션의 특정 API 엔드포인트가 인증 없이 접근 가능한 취약점이 발견되었습니다. 공격자는 URL 검증 부재를 악용하여 서버가 임의의 URL을 호출하게 만들고, 그 응답을 Jira 첨부파일로 탈취할 수 있습니다. 특히 IMDSv2가 적용되지 않은 EC2/EKS 환경에서는 AWS IAM 역할의 임시 자격 증명을 탈취당할 위험이 있습니다.
💡 쉬운 설명
인증 없이 누구나 접근할 수 있는 통로를 통해 서버가 외부 사이트에 접속하게 만든 뒤, 그 내용을 몰래 가져오게 하는 공격입니다. 이를 통해 서버의 중요한 권한 정보나 비밀번호를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
FireFighter is an incident management application. Prior to 0.0.54, the POST /api/v2/firefighter/raid/jira_bot endpoint (CreateJiraBotView) is reachable without authentication (permission_classes = [permissions.AllowAny]). Its attachments payload is fetched server-side via httpx.get() with no URL validation, then uploaded as an attachment on the Jira ticket that gets created. An unauthenticated caller able to reach the ingress can coerce the pod into fetching arbitrary URLs and exfiltrate the response as a Jira attachment. On EC2/EKS deployments that do not enforce IMDSv2, this allows theft of the temporary AWS credentials attached to the pod's IAM role. The docstring on the view claims a Bearer token is required, but the code does not enforce it. This vulnerability is fixed in 0.0.54.
📍 영향받는 시스템
FireFighter 버전 0.0.54 미만
⚔️ 공격 벡터
인증되지 않은 상태에서 POST /api/v2/firefighter/raid/jira_bot 엔드포인트에 악의적인 URL이 포함된 페이로드를 전송하여 SSRF 공격 수행
🛡️ 대응 방법
FireFighter를 최신 버전인 0.0.54 이상으로 업데이트하고, AWS 환경의 경우 IMDSv2 사용을 강제합니다.
🔧 검증 코드
출력된 버전 번호가 0.0.54보다 낮으면 취약한 상태입니다.
python3 -c "import pkg_resources; print(pkg_resources.get_distribution('firefighter').version)" 2>/dev/null || echo 'not installed'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:L
💻 영향받는 소프트웨어
IBM WebSphere Application Server