🇰🇷 한글 설명
Ocelot 24.1.0 이하 버전에서 보안 제어 우회 취약점이 발견되었습니다. WebSocket 업그레이드 요청 시 SecurityMiddleware가 누락되어, 차단된 IP 주소를 가진 클라이언트가 IP 기반 접근 제한을 우회하여 다운스트림 서비스에 접근할 수 있습니다.
💡 쉬운 설명
특정 웹소켓 연결 방식을 사용할 때 보안 검사 과정을 건너뛰는 허점이 있습니다. 이로 인해 차단된 사용자가 마치 허가된 사용자처럼 시스템에 몰래 접속할 수 있습니다.
🇺🇸 원문 (English)
Ocelot through 24.1.0, fixed in commit f156fd4, contains a security control bypass vulnerability that allows denied clients to circumvent IP-based access restrictions by sending WebSocket upgrade requests. The WebSocket upgrade pipeline branch configured via MapWhen in OcelotPipelineExtensions.cs omits SecurityMiddleware, causing requests from blocked IP addresses to be proxied to downstream services without enforcement of the configured allow/block list.
📍 영향받는 시스템
Ocelot 24.1.0 및 그 이전 버전
⚔️ 공격 벡터
WebSocket 업그레이드 요청을 전송하여 IP 기반 보안 미들웨어를 우회함
🛡️ 대응 방법
커밋 f156fd4가 포함된 최신 버전으로 업데이트하거나 보안 미들웨어가 포함되도록 구성 수정
🔧 검증 코드
출력된 Ocelot의 버전이 24.1.0 이하인지 확인합니다.
dotnet list package | grep Ocelot