🇰🇷 한글 설명
Vvveb CMS 1.0.8.6 미만 버전에서 SSRF 방어 로직이 IPv4만 검사하고 IPv6를 검사하지 않는 취약점이 발견되었습니다. 이를 통해 인증된 관리자가 IPv6 리터럴이나 AAAA 레코드만 있는 도메인을 사용하여 내부 서비스 및 클라우드 메타데이터에 접근할 수 있습니다.
💡 쉬운 설명
웹사이트 관리 도구가 주소를 확인할 때 IPv6라는 새로운 방식의 주소를 제대로 검사하지 못하는 허점이 있습니다. 공격자는 이 점을 이용해 외부에서 볼 수 없는 회사의 내부 정보나 클라우드 비밀번호를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Vvveb is a powerful and easy to use CMS with page builder to build websites, blogs or ecommerce stores. Prior to version 1.0.8.6, Vvveb's SSRF guard resolves a host with an IPv4-only function and never inspects IPv6, so any host that lacks an A record passes a private-range check. Editor oEmbed proxy fetches an attacker-supplied URL server side and reflects a response body, so an authenticated admin-panel user (default role site_admin or higher) can read internal-only services and cloud metadata, including IAM credentials, using an IPv6 literal or a domain that carries only an AAAA record. This issue has been patched in version 1.0.8.6.
📍 영향받는 시스템
Vvveb CMS version < 1.0.8.6
⚔️ 공격 벡터
인증된 관리자 권한을 이용해 IPv6 주소를 포함한 URL을 oEmbed 프록시에 전달하여 내부 네트워크 스캔 및 데이터 탈취
🛡️ 대응 방법
Vvveb CMS를 최신 보안 패치가 적용된 버전 1.0.8.6 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 1.0.8.6 미만인지 확인하여 취약 여부를 판단합니다.
composer show vvveb/vvveb | grep 'versions' 2>/dev/null || echo 'Version check failed'