🇰🇷 한글 설명
Friendica의 2026.08-dev 브랜치에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 인증된 사용자가 link-preview 엔드포인트를 악용하여 내부 IP 차단 목록을 우회하고 내부 네트워크 서비스나 클라우드 메타데이터 서비스에 접근할 수 있습니다.
💡 쉬운 설명
해커가 웹사이트의 기능을 이용해 서버 내부의 비밀스러운 네트워크 정보를 몰래 훔쳐볼 수 있는 문제입니다. 마치 배달원이 집 안 내부 구조를 확인하기 위해 집 안쪽으로 카메라를 들이미는 것과 비슷합니다.
🇺🇸 원문 (English)
A server-side request forgery vulnerability in Friendica through the 2026.08-dev branch allows authenticated users with a free self-registered account to probe internal network services via the link-preview endpoint. The endpoint fetches any user-supplied URL without applying an internal IP deny list. An attacker can use this to scan the internal network or access cloud metadata services.
📍 영향받는 시스템
Friendica 2026.08-dev 브랜치 이하 버전
⚔️ 공격 벡터
인증된 사용자가 link-preview 엔드포인트에 내부 네트워크 주소를 포함한 URL을 전송하여 공격
🛡️ 대응 방법
최신 보안 패치가 적용된 버전으로 업데이트하거나, link-preview 엔드포인트에 내부 IP 차단 목록(Deny List)을 적용
🔧 검증 코드
명령어 결과에 '2026.08-dev'가 포함되어 있다면 해당 취약점에 노출된 버전일 가능성이 높습니다.
git describe --tags | grep -E '2026.08-dev'