🇰🇷 한글 설명
Crawl4AI 0.8.7 미만 버전의 Docker API 서버 내 /crawl/job 및 /llm/job 엔드포인트에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 목적지 검증이 없는 웹훅 URL을 제공하여 내부 IP, Docker 네트워크 또는 클라우드 메타데이터 엔드포인트로 요청을 유도할 수 있습니다.
💡 쉬운 설명
웹사이트가 외부의 주소를 대신 호출해주는 기능을 악용하여, 공격자가 내부 네트워크나 중요한 비밀 정보가 담긴 서버에 몰래 접근할 수 있는 문제입니다. 이를 통해 기업 내부의 데이터나 클라우드 설정 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Crawl4AI before 0.8.7 contains a server-side request forgery (SSRF) vulnerability in the Docker API server's /crawl/job and /llm/job endpoints, which accept webhook URLs without destination validation. An attacker can supply webhook URLs pointing to private or internal IP ranges, Docker networks, or cloud metadata endpoints (e.g. 169.254.169.254), causing the server to make requests to internal services and potentially expose cloud metadata.
📍 영향받는 시스템
Crawl4AI version < 0.8.7
⚔️ 공격 벡터
검증되지 않은 웹훅 URL을 엔드포인트에 입력하여 내부 서비스로 요청을 전달하는 방식
🛡️ 대응 방법
Crawl4AI를 0.8.7 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.8.7보다 낮으면 취약한 상태입니다.
pip show crawl4ai | grep Version