🇰🇷 한글 설명
SuiteCRM은 오픈소스 기업용 고객관계관리(CRM) 애플리케이션입니다. 7.15.2 및 8.10.2 이전 버전에서는 CalendarAccount의 testConnection 기능이 인증된 사용자가 입력한 server_url을 호스트, 주소, 스킴 검증 없이 curl에 그대로 전달하여 서버 측 요청(SSRF)이 가능합니다. 이로 인해 내부 서비스 접근, 응답 일부 노출, 클라우드 메타데이터 접근 등이 발생할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 CRM 서버를 이용해 회사 내부망이나 클라우드 내부 주소에 요청을 보낼 수 있는 취약점입니다. 공격자는 이를 통해 외부에서 접근할 수 없는 내부 시스템의 정보를 엿볼 수 있습니다.
🇺🇸 원문 (English)
SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. Prior to 7.15.2 and 8.10.2, the CalendarAccount testConnection action passes an authenticated caller's server_url directly to curl without host, address, or scheme validation. The affected flow begins at CalendarAccount::action_testConnection and uses server_url, CalDAVProvider::makeCalDAVRequest(), and PROPFIND to carry attacker-controlled data or authorization state into the security-sensitive operation. The server sends a PROPFIND request from its network context and returns non-success response bodies, enabling internal-service access, partial response disclosure, service enumeration, and possible cloud metadata access. This issue is fixed in versions 7.15.2 and 8.10.2.
📍 영향받는 시스템
SuiteCRM 7.15.2 미만 및 8.10.2 미만 버전
⚔️ 공격 벡터
인증된 사용자가 CalendarAccount 연결 테스트 기능의 server_url에 내부 IP나 메타데이터 주소를 입력해 서버가 대신 요청하도록 유도
🛡️ 대응 방법
SuiteCRM을 7.15.2 또는 8.10.2 이상으로 업그레이드하고, 서버의 외부 요청 경로를 방화벽으로 내부 대상에 대해 제한
🔧 검증 코드
출력된 버전 값이 7.15.2 또는 8.10.2 미만이면 취약하며, 해당 버전 이상이면 수정된 것입니다. 결과가 없으면 설치 위치를 직접 확인하세요.
grep -rE "version" $(find / -path '*/suitecrm*' -name 'config.php' 2>/dev/null | head -1) 2>/dev/null | head -5