🇰🇷 한글 설명
New API(LLM 게이트웨이 및 AI 자산 관리 시스템)의 특정 버전에서 결제 웹훅 엔드포인트가 서명 검증 전에 요청 본문을 전체 읽고 로그를 남기는 취약점이 발견되었습니다. 인증되지 않은 공격자가 대량의 데이터를 전송함으로써 메모리 압박, 컨테이너 재시작 또는 디스크 고갈을 유발할 수 있습니다.
💡 쉬운 설명
결제 확인을 하기 전에 들어온 데이터를 무조건 다 저장해버리는 허점이 있습니다. 해커가 가짜 데이터를 엄청나게 많이 보내면 서버의 메모리나 저장 공간이 꽉 차서 서비스가 멈출 수 있습니다.
🇺🇸 원문 (English)
New API is a large language mode (LLM) gateway and artificial intelligence (AI) asset management system. Prior to 1.0.0-rc.11, POST /api/stripe/webhook, POST /api/creem/webhook, and POST /api/waffo/webhook read and log full request bodies before signature validation in router/api-router.go and the payment controllers, allowing an unauthenticated attacker to cause memory pressure, container restarts, or disk exhaustion without forging a successful payment. This issue is fixed in version 1.0.0-rc.11.
📍 영향받는 시스템
New API 1.0.0-rc.11 미만 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 POST /api/stripe/webhook 등의 엔드포인트로 대용량 요청 본문을 전송
🛡️ 대응 방법
New API를 1.0.0-rc.11 버전 이상으로 업데이트
🔧 검증 코드
명령어 실행 결과로 1.0.0-rc.11 이상의 버전이 출력되면 취약점이 해결된 상태입니다.
curl -s http://<target-ip>/api/version | grep -E '1\.0\.0-rc\.11'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
Cisco Integrated Management Controller