🇰🇷 한글 설명
Logto 1.43.0 미만 버전에서 관리자가 제어하는 외부 목적지 주소를 검증하지 않아 발생하는 보안 취약점입니다. 웹훅 전달 과정에서 클라우드 메타데이터 주소에 접근하거나, OAuth2/OIDC 커넥터를 통해 공격자가 지정한 엔드포인트로 인증 토큰 및 JWKS 정보를 유출할 수 있습니다.
💡 쉬운 설명
로그인 관리 도구인 Logto의 설정 오류로 인해, 공격자가 가짜 주소를 입력하면 서버 내부의 중요한 정보나 비밀번호가 외부로 빠져나갈 수 있는 문제입니다. 관리자 권한을 가진 사용자가 악의적인 설정을 할 경우 서버의 보안 경계가 무너질 수 있습니다.
🇺🇸 원문 (English)
Logto is the modern, open-source auth infrastructure for SaaS and AI apps. Prior to 1.43.0, Logto fetches administrator-controlled outbound destinations without validating the address used for the connection. Webhook delivery in packages/core/src/libraries/hook/utils.ts can reach special-use and cloud metadata addresses. Custom OAuth2 connectors can use an attacker-selected userInfoEndpoint and forward the OAuth access token in the Authorization header, while OIDC connectors can fetch an attacker-selected jwksUri. The affected operations require tenant administrative configuration access, but they cross the server's network boundary and can expose internal data or upstream provider credentials. This issue is fixed in version 1.43.0.
📍 영향받는 시스템
Logto versions prior to 1.43.0
⚔️ 공격 벡터
관리자 권한을 이용한 악의적인 웹훅 목적지 또는 OAuth2/OIDC 엔드포인트 설정 (SSRF 및 정보 유출)
🛡️ 대응 방법
Logto를 최신 버전인 1.43.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.43.0보다 낮으면 취약한 상태이며, 1.43.0 이상이면 안전합니다.
npm list -g logto | grep -E 'logto@([0-9]+\.[0-9]+\.[0-9]+)'