🇰🇷 한글 설명
CrewAI 1.15.1 미만 버전의 validate_url 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 DNS 리바인딩이나 리다이렉션을 통해 보안 필터를 우회하여 내부 서비스나 클라우드 메타데이터 엔드포인트에 접근할 수 있습니다.
💡 쉬운 설명
웹사이트가 주소를 확인하는 과정에서 보안 검사를 속이는 기술을 사용하여, 공격자가 내부 네트워크에 몰래 침입할 수 있는 문제입니다. 이를 통해 회사의 중요한 정보나 클라우드 설정 데이터가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
CrewAI before 1.15.1 contains a server-side request forgery vulnerability in the validate_url function that performs one-shot DNS resolution and blocklist checks before returning the original URL unchanged. Attackers can bypass the security filter by supplying URLs that redirect to internal addresses or use DNS rebinding techniques to access internal services and cloud metadata endpoints.
📍 영향받는 시스템
CrewAI versions before 1.15.1
⚔️ 공격 벡터
DNS 리바인딩 또는 리다이렉션을 이용한 SSRF 공격
🛡️ 대응 방법
CrewAI를 1.15.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.15.1보다 낮은지 확인하십시오.
pip show crewai | grep Version