🇰🇷 한글 설명
Blombooru는 개인 이미지 컬렉션을 관리하기 위한 자체 호스팅 booru 애플리케이션입니다. 1.40.0 이전 버전에서는 관리자 전용 /api/booru-import/proxy-image 엔드포인트가 url 파라미터를 서버 측에서 검증 없이 요청하여, 내부망 주소와 클라우드 메타데이터 접근이 가능했습니다. 리다이렉트를 통한 우회도 가능하며, 관리자 인증이 전제 조건입니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 이 기능을 악용하면 서버가 내부 네트워크에 대신 접속하게 만들 수 있습니다. 그 결과 클라우드 인증 정보 같은 민감한 내부 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
Blombooru is a self-hosted personal booru for organizing and tagging private image collections. Prior to 1.40.0, the administrator-only `GET /proxy-image` endpoint, exposed as `/api/booru-import/proxy-image`, accepts a `url` query parameter and fetches it server-side without meaningful destination validation. `proxy_image()` in `backend/app/routes/booru_import.py` only checks whether the value starts with http, then uses `get_client_for_url` or `requests.get` and streams the response. Private, loopback and link-local addresses are not blocked, and automatically followed redirects can move a request from a trusted domain to an internal address. An authenticated administrator can enumerate internal services and access cloud instance metadata, potentially disclosing IAM credentials and crossing the application's intended cloud or network trust boundary. The reporter also observed a hanging recursive self-request. Administrator authentication remains a prerequisite; this is not an anonymous proxy. This issue is fixed in version 1.40.0.
📍 영향받는 시스템
Blombooru 1.40.0 미만 버전
⚔️ 공격 벡터
인증된 관리자가 /api/booru-import/proxy-image?url= 파라미터에 내부 IP나 클라우드 메타데이터 주소(예: 169.254.169.254)를 넣어 SSRF를 수행하고, 리다이렉트로 검증을 우회
🛡️ 대응 방법
Blombooru를 1.40.0 이상으로 업그레이드하고, 관리자 계정 보호 및 클라우드 메타데이터 접근 제한(IMDSv2 강제 등)을 적용
🔧 검증 코드
출력된 버전이 1.40.0 미만이면 취약하며, 1.40.0 이상이면 패치된 버전입니다. 버전 정보가 나오지 않으면 설치 경로를 직접 확인해야 합니다.
pip show blombooru 2>/dev/null | grep -i version || grep -ri 'version' $(find / -name 'pyproject.toml' -path '*blombooru*' 2>/dev/null | head -1) 2>/dev/null