🇰🇷 한글 설명
Wekan의 8.36부터 9.74 버전 사이에서 아웃고잉 웹훅 통합 URL 검증 로직의 결함으로 인해 SSRF 취약점이 존재합니다. DNS 이름을 이용해 검증을 우회할 수 있으며, 이는 입력 시점과 연결 시점의 주소 검증 불일치로 인해 발생합니다.
💡 쉬운 설명
웹훅 기능을 이용해 공격자가 허용되지 않은 내부 서버 주소로 데이터를 보내도록 유도할 수 있는 보안 약점입니다. 특수한 도메인 이름을 사용하여 보안 검사를 통과한 뒤 내부 네트워크에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Wekan is open source kanban built with Meteor. From 8.36 until 9.74, the outgoing webhook Integration URL validator in models/integrations.js checked only the literal URL.hostname against regular expressions, so DNS names such as 169-254-169-254.nip.io passed that first-line check. The delivery path's fetchSafe guard already blocked the reported IPv4 destination, but its separate IPv4-only resolver and duplicated blocklist created inconsistent all-address-family enforcement and drift risk between input-time and connection-time validation. Version 9.74 makes server/lib/ssrfGuard.js resolve all addresses with `dns.lookup({ all: true })`, validate every result through the shared isIpBlocked logic, pin the connection, and block redirects. This issue is fixed in version 9.74.
📍 영향받는 시스템
Wekan versions 8.36 to 9.74
⚔️ 공격 벡터
DNS 도메인(예: nip.io)을 사용하여 IP 기반 차단 목록을 우회한 후 내부 네트워크로 SSRF 공격 수행
🛡️ 대응 방법
Wekan을 보안 패치가 적용된 버전 9.74 이상으로 업데이트
🔧 검증 코드
출력된 Wekan의 버전을 확인하여 9.74 미만인 경우 취약한 상태로 판단함
npm list wekan || dpkg -l | grep wekan