🇰🇷 한글 설명
Misskey의 UrlPreviewService 내 URL 미리보기 기능에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 네트워크 제한이 미비하여 공격자가 서버가 루프백, 내부 또는 링크 로컬 서비스로 HTTP 요청을 보내도록 유도할 수 있습니다. 다만, IP 검증이 요청 후에 이루어지므로 민감한 데이터가 유출될 가능성은 낮은 것으로 판단됩니다.
💡 쉬운 설명
공격자가 Misskey 서버를 이용해 서버 내부의 다른 서비스에 몰래 접속을 시도할 수 있는 문제입니다. 다행히 데이터가 직접적으로 유출되지는 않지만, 서버 내부 네트워크를 탐색하는 데 악용될 수 있습니다.
🇺🇸 원문 (English)
Misskey is an open source, federated social media platform. Prior to 2026.6.0, Misskey contains a Server-Side Request Forgery (SSRF) vulnerability in URL preview functionality in UrlPreviewService. Due to missing network restrictions before establishing outbound connections, a remote attacker can cause the Misskey server to initiate HTTP requests to loopback, private, or link-local services. Because IP address validation takes place after the request has been sent and the process is subsequently rejected, no sensitive internal data is believed to be transmitted back or exposed to the attacker. This issue is fixed in version 2026.6.0.
📍 영향받는 시스템
Misskey 2026.6.0 미만 모든 버전
⚔️ 공격 벡터
URL 미리보기 기능을 악용하여 서버 내부 네트워크로 HTTP 요청을 전송
🛡️ 대응 방법
Misskey를 최신 버전인 2026.6.0 이상으로 업데이트
🔧 검증 코드
명령어 결과에 2026.6.0 이상의 버전 정보가 포함되어 있는지 확인
curl -s https://api.misskey.io/version | grep -E '2026.6.0'