🇰🇷 한글 설명
Fedify 라이브러리의 getNodeInfo() 함수가 /.well-known/nodeinfo에서 가져온 링크의 href 값을 검증 없이 처리하여 발생하는 보안 취약점입니다. 공격자가 제어하는 링크를 통해 루프백, 로컬 네트워크, 클라우드 메타데이터 및 내부 네트워크 서비스로 요청을 보내고 그 응답을 탈취할 수 있습니다.
💡 쉬운 설명
프로그램이 외부 링크를 확인하는 과정에서 주소가 안전한지 확인하지 않아, 내부 네트워크의 비밀 정보를 몰래 훔쳐볼 수 있는 문제입니다. 공격자가 가짜 주소를 입력하면 서버 내부의 중요한 데이터에 접근할 수 있습니다.
🇺🇸 원문 (English)
Fedify is a TypeScript library for building federated server apps powered by ActivityPub. From version 1.2.0 through the affected 1.9, 1.10, 2.0, 2.1, 2.2, and 2.3 maintenance lines, getNodeInfo() follows an attacker-controlled links[].href value from /.well-known/nodeinfo without scheme, redirect, or private-address validation, allowing requests to loopback, link-local, cloud metadata, and private-network services and returning their response bodies. This issue is fixed in versions 1.9.13, 1.10.12, 2.0.22, 2.1.18, 2.2.7, and 2.3.2.
📍 영향받는 시스템
Fedify 1.2.0 ~ 1.9, 1.10, 2.0, 2.1, 2.2, 2.3 유지 관리 라인
⚔️ 공격 벡터
공격자가 조작된 /.well-known/nodeinfo 링크를 통해 내부 네트워크 및 클라우드 메타데이터 서비스로 SSRF 공격 수행
🛡️ 대응 방법
Fedify를 최신 패치 버전(1.9.13, 1.10.12, 2.0.22, 2.1.18, 2.2.7, 2.3.2 이상)으로 업데이트
🔧 검증 코드
출력된 Fedify의 버전을 확인하여 취약점이 해결된 버전(1.9.13, 1.10.12, 2.0.22, 2.1.18, 2.2.7, 2.3.2 이상)인지 확인합니다.