🇰🇷 한글 설명
AWX의 웹훅 상태 콜백 메커니즘에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 조작된 GitHub 웹훅 페이로드를 통해 임의의 URL을 지정하면, AWX가 인증된 Git 개인 액세스 토큰(PAT)을 포함하여 공격자의 서버로 상태 업데이트를 전송함으로써 자격 증명이 유출될 수 있습니다.
💡 쉬운 설명
AWX 시스템이 가짜 알림을 받았을 때, 중요한 비밀번호가 담긴 정보를 공격자가 만든 엉뚱한 주소로 보내버리는 문제입니다. 이를 통해 공격자는 사용자의 중요한 권한을 탈취할 수 있습니다.
🇺🇸 원문 (English)
A server-side request forgery (SSRF) vulnerability was found in AWX's webhook status callback mechanism. When processing GitHub pull request webhooks, AWX extracts the status callback URL (pull_request.statuses_url) from the incoming webhook payload without validating the target host against the expected Git provider. This URL is persisted in job extra variables and later used to send authenticated status updates. A user with admin role on a webhook-enabled job template can read the template's webhook signing key, forge a signed GitHub webhook payload with an arbitrary statuses_url, and cause AWX to POST status updates to an attacker-controlled or internal URL. The status update request includes the configured Git Personal Access Token (PAT) in the Authorization header, resulting in credential leakage to the attacker-specified endpoint.
📍 영향받는 시스템
AWX (Webhook status callback mechanism enabled)
⚔️ 공격 벡터
관리자 권한을 가진 사용자가 조작된 GitHub 웹훅 페이로드를 전송하여 인증 토큰을 외부로 유출
🛡️ 대응 방법
AWX를 최신 보안 패치가 적용된 버전으로 업데이트하고, 웹훅 사용 시 권한 관리를 강화하십시오.
🔧 검증 코드
설치된 AWX 버전을 확인하여 해당 취약점이 해결된 보안 패치 버전인지 제조사의 공지사항과 대조하십시오.
awx-manage --version 2>/dev/null || echo 'AWX version check required'