🇰🇷 한글 설명
FlaskBB 포럼 소프트웨어 2.2.1 미만 버전의 get_image_info() 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증된 사용자는 이 취약점을 악용하여 서버가 클라우드 메타데이터 서비스와 같은 임의의 내부 엔드포인트로 HTTP 요청을 보내도록 강제할 수 있습니다. 이는 내부 포트 스캐닝 및 내부 API 트리거가 가능한 Blind SSRF 취약점입니다.
💡 쉬운 설명
로그인한 사용자가 게시판 서버를 조종하여 서버 내부의 비밀 정보나 다른 시스템에 몰래 접근하게 만드는 보안 결함입니다. 공격자는 이를 통해 서버가 접근할 수 있는 내부 네트워크의 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
FlaskBB is a Forum Software written in Python using the micro framework Flask. Prior to version 2.2.1, a Server-Side Request Forgery (SSRF) vulnerability in get_image_info() allows any authenticated user to force the server to send HTTP requests to arbitrary internal endpoints, including cloud metadata services. This is a blind SSRF with confirmed internal port scanning and internal API triggering capabilities. Version 2.2.1 patches the issue.
📍 영향받는 시스템
FlaskBB 2.2.1 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 get_image_info() 함수에 조작된 URL을 전달하여 서버 내부로 요청을 유도함
🛡️ 대응 방법
FlaskBB를 최신 보안 패치가 적용된 2.2.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.2.1보다 낮으면 취약한 상태이며, 2.2.1 이상이면 안전합니다.
pip show FlaskBB | grep Version