🇰🇷 한글 설명
Apache InLong에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 인증된 사용자라면 관리자 권한 없이도 InLong Manager 서버를 통해 내부 호스트 및 포트로 임의의 HTTP 요청이나 TCP 연결을 시도할 수 있습니다.
💡 쉬운 설명
해커가 권한을 가진 사용자로 로그인하여, 서버가 내부 네트워크의 다른 컴퓨터에 몰래 접속하도록 명령을 내릴 수 있는 문제입니다. 이를 통해 서버 내부의 중요한 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Server-Side Request Forgery (SSRF) vulnerability in Apache InLong. Any authenticated user (no admin role required) can cause the InLong Manager server to make outbound HTTP requests or TCP connections to
arbitrary internal hosts and ports.
This issue affects Apache InLong: from 2.0.0 before 2.4.0.
Users are advised to upgrade to Apache InLong's 2.4.0 or cherry-pick [1] to solve it.
[1] https://github.com/apache/inlong/pull/12130 .
📍 영향받는 시스템
Apache InLong 2.0.0 버전부터 2.4.0 미만 버전
⚔️ 공격 벡터
인증된 사용자가 조작된 요청을 보내 서버가 내부 네트워크로 임의의 연결을 수행하도록 유도
🛡️ 대응 방법
Apache InLong을 2.4.0 버전으로 업그레이드하거나 관련 보안 패치를 적용
🔧 검증 코드
출력 결과에 2.4.0 미만의 버전 번호가 나타나면 취약한 버전이 설치된 상태입니다.
curl -s http://<inlong-manager-ip>:<port>/version | grep -E '2\.[0-3]\.'