🇰🇷 한글 설명
Flowise 3.1.3 미만 버전의 HTTP 보안 모듈에서 IPv4-mapped IPv6 주소(예: ::ffff:127.0.0.1)를 정규화하지 않는 취약점이 발견되었습니다. 이로 인해 IPv4 차단 목록 검사가 우회되어 공격자가 로컬호스트나 클라우드 메타데이터 엔드포인트에 접근할 수 있습니다.
💡 쉬운 설명
보안 검사 과정에서 주소 형식을 제대로 확인하지 못해 발생하는 보안 구멍입니다. 공격자가 특수한 주소 형식을 사용하여 내부 네트워크나 중요한 시스템 설정에 몰래 접근할 수 있습니다.
🇺🇸 원문 (English)
Flowise is a drag & drop user interface to build a customized large language model flow. Prior to 3.1.3, Flowise's HTTP security module httpSecurity.ts did not normalize IPv4-mapped IPv6 addresses such as ::ffff:127.0.0.1 and ::ffff:169.254.169.254 before checking them against the deny list. Because ipaddr.js reports these addresses as ipv6 while IPv4 CIDR deny-list entries are ipv4, isDeniedIP() skipped the IPv4 CIDR checks. An attacker who controls DNS resolution for a hostname used by the HTTP Node, API Chain, Document Loader, MCP tool, or other paths using secureAxiosRequest(), secureFetch(), or checkDenyList() could return a AAAA record for an IPv4-mapped target and cause requests to reach localhost, internal services, or cloud metadata endpoints. This issue is fixed in version 3.1.3.
📍 영향받는 시스템
Flowise versions prior to 3.1.3
⚔️ 공격 벡터
DNS 제어권을 가진 공격자가 AAAA 레코드를 조작하여 IPv4-mapped IPv6 주소를 반환함으로써 차단 목록을 우회함
🛡️ 대응 방법
Flowise를 최신 버전인 3.1.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.1.3 미만이면 취약한 상태입니다.
npm list flowise | grep -E 'flowise@'