🇰🇷 한글 설명
FUXA 소프트웨어 1.3.2 미만 버전에서 Socket.IO 핸들러의 권한 검증 미흡으로 인해 발생하는 SSRF 취약점입니다. 공격자는 인증 없이 임의의 HTTP/HTTPS 목적지나 내부 OPC UA 및 ODBC 서비스에 요청을 보내 데이터를 탈취할 수 있습니다. 이로 인해 클라우드 메타데이터나 내부 관리 서비스, 산업용 엔드포인트 정보가 노출될 위험이 있습니다.
💡 쉬운 설명
해커가 FUXA 소프트웨어를 이용해 내부 네트워크에 몰래 접속하여 중요한 정보를 훔쳐볼 수 있는 보안 구멍입니다. 이를 통해 회사 내부의 비밀 데이터나 관리자 페이지에 접근할 수 있습니다.
🇺🇸 원문 (English)
FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. Prior to 1.3.2, the DEVICE_WEBAPI_REQUEST and DEVICE_PROPERTY Socket.IO handlers in server/runtime/index.js omit isSocketWriteAuthorized and accept attacker-controlled property.address or endpoint connection data. A remote unauthenticated attacker can make server/runtime/devices/httprequest/index.js call axios.get against arbitrary HTTP or HTTPS destinations, connect to reachable OPC UA or ODBC services, and receive results through the corresponding Socket.IO event. This read SSRF oracle can expose cloud instance metadata, internal administrative services, industrial endpoints, and ODBC data reachable from the FUXA host, including when secureEnabled is true. This issue is fixed in version 1.3.2.
📍 영향받는 시스템
FUXA version < 1.3.2
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 조작된 Socket.IO 요청을 통해 서버가 내부 서비스에 요청을 보내도록 유도함
🛡️ 대응 방법
FUXA 소프트웨어를 최신 보안 패치가 적용된 버전 1.3.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.3.2보다 낮은지 확인하십시오.
npm list -g fui-fuxa || node -e "const fs = require('fs'); try { console.log(require('./package.json').version); } catch(e) { console.log('Not found'); }"