🇰🇷 한글 설명
FUXA 1.3.2 및 이전 버전의 Socket.IO 핸들러에서 인증된 비관리자 사용자가 property.address 속성을 제어할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 서버가 내부 서비스나 클라우드 메타데이터 엔드포인트로 HTTP/HTTPS 요청을 보내도록 유도하고 응답 본문을 탈취하는 SSRF 공격을 수행할 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 서버를 조종하여 내부 네트워크의 다른 컴퓨터에 몰래 접속하거나 정보를 빼낼 수 있는 보안 약점입니다. 서버가 공격자의 명령을 받아 내부의 비밀 정보를 대신 읽어오는 도구로 악용될 수 있습니다.
🇺🇸 원문 (English)
FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. In 1.3.2 and earlier, the device-webapi-request Socket.IO handler in server/runtime/index.js permits an authenticated non-admin runtime user to control property.address, causing the FUXA server to issue an outbound HTTP or HTTPS request and return the response body to the requesting socket. The attacker can use the server as a read SSRF oracle against reachable internal services or cloud metadata endpoints, with impact depending on the FUXA host's deployment network. This issue is fixed in version 1.3.3.
📍 영향받는 시스템
FUXA version 1.3.2 and earlier
⚔️ 공격 벡터
인증된 비관리자 사용자가 Socket.IO를 통해 property.address 값을 조작하여 서버 측 요청 위조(SSRF) 수행
🛡️ 대응 방법
FUXA를 최신 보안 패치가 적용된 버전 1.3.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.3.3 미만(예: 1.3.2)이면 취약한 상태입니다.
npm list -g fuxa --depth=0 | grep -E 'fuxa@([0-9]+\.[0-9]+\.[0-9]+)'