🇰🇷 한글 설명
ip-address 라이브러리 10.3.1 미만 버전에서 IPv4 주소의 앞자리 0을 10진수로 해석하는 오류가 발견되었습니다. 이로 인해 WHATWG URL 파서 등 다른 네트워크 스택은 이를 8진수로 해석하여, 라이브러리의 검증 결과와 실제 연결되는 IP 주소가 일치하지 않는 문제가 발생합니다. 이는 SSRF 방어 체계를 우회하여 내부 네트워크로의 접근을 허용할 수 있는 보안 취약점을 야기합니다.
💡 쉬운 설명
IP 주소를 적을 때 앞에 '0'을 붙이면 프로그램마다 이를 읽는 방식이 달라 발생하는 문제입니다. 보안 검사에서는 외부 주소라고 판단했지만, 실제로는 내부 네트워크 주소로 접속되어 보안이 뚫릴 수 있습니다.
🇺🇸 원문 (English)
ip-address is a library for parsing and manipulating IPv4 and IPv6 addresses in JavaScript. Prior to 10.3.1, Address4 accepts an octet written with a leading zero and decodes it as decimal, while the WHATWG URL host parser, inet_aton, and getaddrinfo all decode a leading zero as octal. The library and the network stack therefore disagree about which host a string names. new Address4('012.0.0.1') reports correctForm() of 12.0.0.1 and isPrivate() of false, but fetch('http://012.0.0.1/') connects to 10.0.0.1. An application that builds a network trust-boundary decision on these checks, for example a filter intended to block Server-Side Request Forgery, or SSRF, will classify an internal target as external and allow the request. The defect is in the parse gate rather than in any one classifier, so every consumer of Address4 inherits it: isPrivate(), isLoopback(), isLinkLocal(), isCGNAT(), isInSubnet(), isHostInSubnet(), and correctForm() are all computed from the mis-decoded octets. This issue is fixed in version 10.3.1.
📍 영향받는 시스템
ip-address library versions prior to 10.3.1
⚔️ 공격 벡터
8진수 해석 차이를 이용한 SSRF(Server-Side Request Forgery) 공격을 통한 내부 네트워크 우회
🛡️ 대응 방법
ip-address 라이브러리를 10.3.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 ip-address의 버전이 10.3.1 미만인지 확인하십시오.
💻 영향받는 소프트웨어
IBM WebSphere Application Server