🇰🇷 한글 설명
AWX의 여러 알림 백엔드(Webhook, Mattermost, Rocket.Chat, Grafana)에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 알림 템플릿 URL이 내부 또는 루프백 주소인지 검증하지 않아 내부 서비스에 접근할 수 있으며, 특히 Webhook 백엔드는 리다이렉트 시 인증 정보를 재전송하여 자격 증명이 유출될 위험이 있습니다.
💡 쉬운 설명
공격자가 가짜 주소를 입력하여 서버가 내부의 중요한 정보나 다른 컴퓨터에 접근하도록 조작할 수 있는 문제입니다. 이 과정에서 서버가 사용하는 비밀번호나 인증 키가 공격자에게 전달될 수도 있습니다.
🇺🇸 원문 (English)
A server-side request forgery (SSRF) vulnerability was found in multiple AWX notification backends. The webhook, Mattermost, Rocket.Chat, and Grafana notification backends use notification template URLs as direct HTTP request targets without validating the target address against private, loopback, or reserved IP ranges. An organization notification administrator can create notification templates pointing to internal or loopback addresses, causing the AWX control node to issue HTTP requests to services that are not externally accessible. Additionally, the webhook notification backend follows HTTP redirects and resends configured Basic Authentication credentials to redirect targets regardless of host change, allowing an attacker to exfiltrate notification credentials by redirecting to an attacker-controlled host. The Grafana backend sends its API key in the Authorization header to the configured target URL.
📍 영향받는 시스템
AWX (Webhook, Mattermost, Rocket.Chat, Grafana 알림 백엔드 사용 버전)
⚔️ 공격 벡터
알림 템플릿에 내부 IP 또는 공격자 제어 서버로 리다이렉트되는 URL을 설정하여 내부 서비스 접근 및 인증 정보 탈취
🛡️ 대응 방법
AWX를 최신 보안 패치가 적용된 버전으로 업데이트하고, 알림 템플릿 설정 시 신뢰할 수 있는 외부 URL만 사용하도록 제한
🔧 검증 코드
설치된 AWX 버전을 확인하여 해당 취약점이 해결된 보안 패치 버전인지 제조사의 공지사항과 대조하여 확인
awx-manage --version 2>/dev/null || echo 'AWX not installed or command not found'