🇰🇷 한글 설명
oasdiff 버전 1.13.2부터 1.18.0 사이에서 git 리비전(rev:path 형식)을 통해 OpenAPI 명세를 로드할 때 --allow-external-refs=false 설정이 제대로 적용되지 않는 취약점이 발견되었습니다. 이로 인해 외부 참조를 명시적으로 차단하더라도 외부 $ref가 자동으로 해결되는 문제가 발생합니다. 이 문제는 버전 1.18.1에서 패치되었습니다.
💡 쉬운 설명
보안을 위해 외부 파일을 불러오지 못하게 막아두어도, 특정 방식으로 파일을 읽을 때 이 설정이 무시되고 외부 파일을 몰래 가져올 수 있는 문제입니다. 이를 통해 의도치 않은 외부 데이터가 시스템에 포함될 위험이 있습니다.
🇺🇸 원문 (English)
oasdiff is a command-line and Go package that compares and detects breaking changes in OpenAPI specs. From version 1.13.2 through version 1.18.0, oasdiff did not enforce --allow-external-refs=false (library: openapi3.Loader.IsExternalRefsAllowed = false) when loading a spec from a git revision (the rev:path form, e.g. main:openapi.yaml). External $refs were resolved on that load path even when external refs were explicitly disabled, so the mitigation silently did not apply there. This issue has been patched in version 1.18.1.
📍 영향받는 시스템
oasdiff versions 1.13.2 through 1.18.0
⚔️ 공격 벡터
git 리비전 형식을 사용하여 OpenAPI 명세를 로드할 때 외부 참조($ref)를 포함시켜 보안 설정을 우회함
🛡️ 대응 방법
oasdiff를 버전 1.18.1 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 출력되면 해당 버전이 설치되어 있는 상태입니다.
oasdiff --version 2>/dev/null | grep -E '1\.(13\.[2-9]|1[4-7]\.|1\.18\.[0])'