🇰🇷 한글 설명
Prowler 5.33.1 미만 버전에서 Lighthouse 제공자 설정 권한이 있는 인증된 사용자가 openai_compatible 제공자의 base_url을 검증 없이 입력할 수 있는 취약점이 존재합니다. 이로 인해 client.models.list 호출 시 API 키가 포함된 Authorization 헤더가 공격자가 제어하는 엔드포인트로 전송될 수 있습니다.
💡 쉬운 설명
클라우드 보안 도구인 Prowler의 설정 오류를 이용해, 공격자가 가짜 주소를 입력하면 시스템의 중요한 비밀번호(API 키)를 공격자에게 몰래 전송하게 만들 수 있는 문제입니다. 권한이 있는 사용자가 악의적인 설정을 추가하여 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
Prowler is a cloud security platform. Prior to 5.33.1, an authenticated user with Lighthouse provider configuration access could supply an unvalidated base_url for the openai_compatible provider through POST /api/v1/lighthouse/providers and POST /api/v1/lighthouse/providers/{id}/connection, causing api/src/backend/tasks/jobs/lighthouse_providers.py to send outbound requests, including the API key in the Authorization header, to attacker-controlled or internal endpoints when client.models.list was called. This issue is fixed in version 5.33.1.
📍 영향받는 시스템
Prowler version < 5.33.1
⚔️ 공격 벡터
인증된 사용자가 API를 통해 조작된 base_url을 제공하여 API 키가 포함된 요청을 외부로 유도함
🛡️ 대응 방법
Prowler를 5.33.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 5.33.1보다 낮으면 취약한 상태이며, 5.33.1 이상이면 안전합니다.
prowler --version 2>/dev/null || python3 -c 'import prowler; print(prowler.__version__)' 2>/dev/null