🇰🇷 한글 설명
Dozzle의 웹훅 알림 URL 처리에 사용되는 isBlockedIP 보안 가드가 6to4, NAT64, Teredo 또는 IPv4 호환 IPv6 주소에 포함된 IPv4 주소를 제대로 검사하지 못하는 취약점입니다. 이로 인해 인증된 사용자가 차단되어야 할 루프백 또는 링크 로컬 대상에 접근할 수 있는 SSRF(Server-Side Request Forgery) 공격이 가능합니다.
💡 쉬운 설명
보안 검사 기능이 특정 방식의 특수 주소를 제대로 걸러내지 못하는 문제입니다. 이를 통해 공격자가 내부 네트워크의 민감한 서버에 몰래 접근할 수 있습니다.
🇺🇸 원문 (English)
Dozzle is a realtime log viewer for docker containers. From 10.5.2 until 10.6.15, the isBlockedIP SSRF guard in internal/notification/dispatcher/webhook.go, used by safeDialContext for webhook notification URLs, does not inspect IPv4 addresses embedded in 6to4, NAT64, Teredo, or IPv4-compatible IPv6 addresses, allowing an authenticated user to reach loopback or link-local targets that the guard intends to block. This issue is fixed in version 10.6.15.
📍 영향받는 시스템
Dozzle 10.5.2 버전부터 10.6.15 미만 버전
⚔️ 공격 벡터
인증된 사용자가 특수하게 조작된 IPv6 형식의 주소를 웹훅 URL로 전달하여 내부 네트워크로 요청을 보냄
🛡️ 대응 방법
Dozzle를 최신 버전인 10.6.15 이상으로 업데이트
🔧 검증 코드
출력된 Dozzle 이미지의 태그 버전을 확인하여 10.6.15 미만인지 확인
docker images | grep dozzle