🇰🇷 한글 설명
Next AI Draw.io 0.4.16 이하 버전의 /api/parse-url 엔드포인트에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 호스트 이름 검증 시 DNS 확인 없이 문자열 패턴만 확인하는 결함으로 인해, 공격자가 내부 네트워크 주소로 연결되는 호스트를 입력하여 내부 서비스에 접근하거나 클라우드 메타데이터를 탈취할 수 있습니다.
💡 쉬운 설명
웹사이트의 주소 확인 기능이 허술하여, 공격자가 가짜 주소를 입력해 회사의 내부 컴퓨터나 중요한 정보가 담긴 서버에 몰래 접속할 수 있는 문제입니다. 이를 통해 내부 네트워크의 비밀 정보를 빼낼 위험이 있습니다.
🇺🇸 원문 (English)
Next AI Draw.io through 0.4.16 contains a server-side request forgery vulnerability in the POST /api/parse-url endpoint due to hostname validation that only checks string patterns without DNS resolution. Unauthenticated attackers can supply hostnames that bypass string validation but resolve to internal addresses, allowing them to reach arbitrary internal HTTP services and exfiltrate responses including cloud metadata.
📍 영향받는 시스템
Next AI Draw.io 0.4.16 이하 모든 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 호스트네임을 포함한 POST 요청을 /api/parse-url 엔드포인트로 전송
🛡️ 대응 방법
Next AI Draw.io를 최신 보안 패치가 적용된 버전으로 업데이트하고, 호스트 검증 시 DNS 확인 과정을 포함하도록 수정
🔧 검증 코드
출력된 버전 정보가 0.4.16 이하인지 확인하여 취약 여부를 판단합니다.
curl -s http://<target-ip>/version | grep -E 'Next AI Draw.io [0-9.]+'