🇰🇷 한글 설명
Fabio HTTP(S) 및 TCP 라우터의 특정 버전에서 설정된 클라이언트 IP, TLS 헤더 및 요청 ID 헤더가 보호되지 않는 취약점이 발견되었습니다. 공격자는 인증 없이 이러한 헤더를 조작하거나 삭제하여 백엔드 서버의 권한 부여 및 감사 프로세스를 우회할 수 있습니다. 이 문제는 1.7.2 버전에서 수정되었습니다.
💡 쉬운 설명
해커가 사용자의 실제 IP 주소나 접속 정보를 가짜로 꾸며서 서버를 속일 수 있는 보안 구멍이 발견되었습니다. 이로 인해 서버가 잘못된 사용자를 허용하거나 누가 접속했는지 기록을 남기지 못할 위험이 있습니다.
🇺🇸 원문 (English)
Fabio is an HTTP(S) and TCP router for deploying applications managed by consul. From 1.6.6 until 1.7.2, the CVE-2025-48865 fix in proxy/http_headers.go uses protectHeaders for a hardcoded set of forwarded headers but omits the operator-configured ClientIPHeader, TLSHeader, and RequestID names. In proxy/http_proxy.go, HTTPProxy.ServeHTTP calls addHeaders to set these trust headers before Go ReverseProxy processes the inbound Connection header, allowing an unauthenticated client to name and remove the configured headers before the request reaches the backend. Deployments that enable the corresponding proxy.header options can therefore lose client-IP, TLS-termination, or request-correlation signals used by backend authorization and auditing; the options are empty by default, and the hardcoded protected forwarded headers are unaffected. This issue is fixed in version 1.7.2.
📍 영향받는 시스템
Fabio version 1.6.6 to 1.7.2
⚔️ 공격 벡터
인증되지 않은 클라이언트가 HTTP 요청 시 설정된 신뢰 헤더(ClientIPHeader, TLSHeader, RequestID)를 임의로 포함하거나 삭제하여 전송
🛡️ 대응 방법
Fabio를 최신 보안 패치가 적용된 버전인 1.7.2 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 1.6.6~1.7.2 사이의 버전 번호가 출력되면 취약한 버전이 설치된 상태입니다.
fabio --version 2>/dev/null | grep -E '1\[\.\]6\.[6-7]\|1\.[\.\]7\.[0-2]'