🇰🇷 한글 설명
ERPNext는 무료 오픈소스 전사적 자원관리(ERP) 도구입니다. 15.106.0 및 16.16.0 이전 버전에서는 악의적인 사용자가 조작된 요청을 특정 엔드포인트에 보내 서버가 사용자가 지정한 서비스로 HTTP 호출을 수행하도록 만들 수 있습니다. 이 취약점은 15.106.0 및 16.16.0에서 수정되었습니다.
💡 쉬운 설명
ERP 프로그램의 일부 기능이 사용자가 정한 외부 주소로 서버가 대신 접속하도록 악용될 수 있는 문제입니다. 해커가 서버를 중간 발판으로 삼아 내부 네트워크 정보를 탐색하는 데 쓰일 수 있습니다.
🇺🇸 원문 (English)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.106.0 and 16.16.0, a malicious user could send a crafted request to an endpoint, which would lead to the server making an HTTP call to a service of the user's choice. This vulnerability is fixed in 15.106.0 and 16.16.0.
📍 영향받는 시스템
ERPNext 15.106.0 미만 및 16.16.0 미만 버전
⚔️ 공격 벡터
네트워크를 통해 취약한 엔드포인트에 조작된 요청을 보내 서버가 임의의 HTTP 요청을 수행하도록 유도(SSRF)
🛡️ 대응 방법
ERPNext를 15.106.0 이상 또는 16.16.0 이상으로 업데이트
🔧 검증 코드
출력된 erpnext 버전이 15.106.0 이상(15.x 계열) 또는 16.16.0 이상(16.x 계열)이면 패치된 것이며, 그보다 낮으면 취약합니다.
cd $(bench --site all version 2>/dev/null | head -1 >/dev/null; echo .) && bench version 2>/dev/null | grep -i erpnext