🇰🇷 한글 설명
Crawl4AI 0.9.0 미만 버전에서 스트리밍 방식의 /crawl 경로에 대한 SSRF 목적지 검증이 누락된 취약점이 발견되었습니다. 공격자는 인증 없이 내부 또는 프라이빗 주소를 입력하여 서버가 해당 데이터를 가져와 응답하도록 유도할 수 있습니다.
💡 쉬운 설명
웹 크롤러 프로그램이 내부 네트워크 주소를 검사하지 않아 발생하는 보안 허점입니다. 해커가 이 허점을 이용해 회사 내부의 비밀 정보가 담긴 서버에 대신 접속하게 만들 수 있습니다.
🇺🇸 원문 (English)
Crawl4AI is an open-source LLM-friendly web crawler and scraper. Prior to 0.9.0, the Docker API server applied its SSRF destination check on the non-streaming /crawl path but not on the streaming path. handle_stream_crawl_request passed seed URLs straight to the crawler with no destination validation, allowing a remote unauthenticated client to call POST /crawl/stream or POST /crawl with crawler_config.stream=true with a URL pointing at an internal, private, or link-local address; the server fetched it and streamed the response body back. This issue is fixed in version 0.9.0.
📍 영향받는 시스템
Crawl4AI versions prior to 0.9.0
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 스트리밍 모드(/crawl/stream 또는 crawler_config.stream=true)를 사용하여 내부 IP 주소로 POST 요청을 전송
🛡️ 대응 방법
Crawl4AI를 0.9.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.9.0보다 낮으면 취약한 상태입니다.
pip show crawl4ai | grep Version