🇰🇷 한글 설명
swagger-typescript-api는 OpenAPI 명세로부터 Fetch 또는 Axios용 API 클라이언트를 생성합니다. 13.12.2 이전 버전에서는 외부 $ref URL을 해석할 때 사설 IP, 리다이렉트, DNS 리바인딩, 동일 출처 검증 없이 http/https 대상을 요청하여, 공격자가 조작한 OpenAPI 명세로 내부 또는 링크-로컬 서비스에 요청을 보낼 수 있습니다. 이 문제는 13.12.2 버전에서 수정되었습니다.
💡 쉬운 설명
API 설계 문서를 읽어 코드를 만드는 도구가 문서 안에 적힌 외부 주소에 대신 접속해버리는 문제입니다. 공격자가 만든 문서를 처리하면 회사 내부망의 서비스에도 몰래 접근될 수 있습니다.
🇺🇸 원문 (English)
swagger-typescript-api generates API clients for Fetch or Axios from OpenAPI specifications. Prior to 13.12.2, src/resolved-swagger-schema.ts warmUpRemoteSchemasCache resolves external $ref URLs and fetchRemoteSchemaDocument uses isHttpUrl to fetch any http or https target without private IP, redirect, DNS rebinding, or same-origin validation, allowing an attacker-controlled OpenAPI spec to make the generator issue requests to internal or link-local services. This issue is fixed in version 13.12.2.
📍 영향받는 시스템
swagger-typescript-api 13.12.2 미만 버전
⚔️ 공격 벡터
공격자가 악성 OpenAPI 명세(외부 $ref 포함)를 제공하면 생성기가 내부 네트워크나 링크-로컬 주소로 SSRF 요청을 발생시킴
🛡️ 대응 방법
swagger-typescript-api를 13.12.2 이상으로 업그레이드하고, 신뢰할 수 없는 OpenAPI 명세 사용을 피하며 외부 $ref 해석을 차단
🔧 검증 코드
출력된 버전이 13.12.2 미만이면 취약하므로 업그레이드가 필요하고, 아무것도 나오지 않으면 해당 패키지가 설치되어 있지 않은 것입니다.
npm ls swagger-typescript-api 2>/dev/null | grep swagger-typescript-api
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
💻 영향받는 소프트웨어
Windows iSCSI Target Service