🇰🇷 한글 설명
Flyto2 Core 2.26.3 미만 버전에서 validate_url_ssrf 및 is_private_ip 함수가 IPv4-mapped, 6to4, NAT64와 같은 전환 주소를 제대로 검증하지 못하는 취약점이 발견되었습니다. 인증된 워크플로 작성자가 특수하게 조작된 URL을 제공할 경우, 내부망 주소나 클라우드 메타데이터 서비스로의 접근이 허용되어 내부 데이터나 자격 증명이 유출될 수 있습니다.
💡 쉬운 설명
보안 검사 기능이 특정 형태의 주소 형식을 제대로 걸러내지 못해 발생하는 문제입니다. 이를 통해 공격자가 외부에서 접근할 수 없는 회사의 내부 서버나 중요한 정보에 몰래 접근할 수 있습니다.
🇺🇸 원문 (English)
Flyto2 Core is an execution kernel for automation and AI-agent workflows. Prior to 2.26.3, validate_url_ssrf and is_private_ip in src/core/utils.py compare resolved addresses only against native private IPv4 and IPv6 ranges and do not unwrap IPv4-mapped, IPv4-compatible, 6to4, or NAT64 transition addresses. An authenticated workflow author can provide a transition-form literal URL through the Execution API POST /v1/execute route, http.get, or sibling guarded outbound-request modules, causing the guard to accept an address whose embedded IPv4 points to loopback, RFC 1918, or cloud metadata services. On a host that routes the selected transition form, the outbound request reaches the internal destination and returns the response body to the workflow caller, enabling read SSRF and disclosure of internal-service data or cloud credentials. This issue is fixed in version 2.26.3.
📍 영향받는 시스템
Flyto2 Core 2.26.3 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 Execution API 또는 관련 모듈을 통해 전환 주소 형식을 포함한 URL을 전달하여 내부망에 접근
🛡️ 대응 방법
Flyto2 Core를 최신 보안 패치가 적용된 2.26.3 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전이 2.26.3보다 낮으면 취약한 상태이며, 2.26.3 이상이면 안전합니다.
pip show flyto2-core 2>/dev/null | grep -E 'Version'