🇰🇷 한글 설명
Hugo 정적 사이트 생성기에서 IPv4 주소를 점진적 십진법(dotted-decimal) 형식으로만 검사하는 보안 정책 결함이 발견되었습니다. 이로 인해 정수, 16진수, 8진수 등 다른 인코딩된 주소를 사용하면 루프백이나 클라우드 메타데이터 엔드포인트로의 접근이 가능해져 빌드 시 서버 측 요청 위조(SSRF)가 발생할 수 있습니다.
💡 쉬운 설명
웹사이트를 만드는 프로그램인 Hugo가 특정 주소를 차단할 때, 주소를 쓰는 방식이 조금만 바뀌어도 이를 알아채지 못하는 허점이 있습니다. 공격자가 이 점을 이용해 내부 네트워크나 중요한 정보가 담긴 서버에 몰래 접근할 수 있습니다.
🇺🇸 원문 (English)
Hugo is a static site generator. From v0.162.0 through v0.163.0, the default security.http.urls policy denies requests to loopback, internal, and cloud-metadata IPv4 literals, but the deny rule only matched dotted-decimal notation, so alternate IPv4 encodings of the same addresses, including integer, hex, or octal, passed the policy. When a template passes an untrusted or data-derived URL to resources.GetRemote and the host platform uses the cgo system resolver, these encodings resolve to the blocked address, allowing build-time server-side requests to loopback and internal services, including the cloud-metadata endpoint in hosted or CI builds; the same check is reused on redirects, so the gap also applies to each redirect hop. This issue is fixed in v0.163.1.
📍 영향받는 시스템
Hugo v0.162.0 ~ v0.163.0
⚔️ 공격 벡터
신뢰할 수 없는 URL을 resources.GetRemote 함수에 전달하여 인코딩된 IPv4 주소를 통한 SSRF 공격 수행
🛡️ 대응 방법
Hugo를 v0.163.1 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 v0.162.0부터 v0.163.0 사이의 버전이 출력되면 취약한 버전이 설치된 것입니다.
hugo version | grep -E 'v0\.(162|163)\.[0-9]+'