🇰🇷 한글 설명
Microsoft의 UFO 오픈소스 프레임워크 3.0.8 미만 버전에서 URL 보안 검증 로직의 결함이 발견되었습니다. 특정 IPv6 접두사(NAT64, 6to4, Teredo) 및 임베디드 IPv4 주소에 대한 차단 기능이 누락되어, 공격자가 SSRF 방어 체계를 우회하여 내부 서비스나 클라우드 메타데이터에 접근할 수 있습니다.
💡 쉬운 설명
보안 검사 기능이 특정 특수 주소 형식을 제대로 걸러내지 못하는 취약점입니다. 이를 통해 해커가 외부에서 내부 네트워크나 중요한 서버 정보에 몰래 접근할 수 있습니다.
🇺🇸 원문 (English)
Microsoft UFO open-source framework for intelligent automation across devices and platforms. Prior to 3.0.8, _is_blocked_ip in ufo/utils/url_security.py did not block NAT64 prefixes 64:ff9b::/96 and 64:ff9b:1::/48, the 6to4 prefix 2002::/16, or the Teredo prefix 2001::/32 and did not re-check embedded IPv4 destinations, allowing an unauthenticated remote attacker who can influence URLs processed by validate_url to bypass the SSRF guard and reach cloud metadata, internal services, or localhost. This issue is fixed in version 3.0.8.
📍 영향받는 시스템
Microsoft UFO open-source framework version < 3.0.8
⚔️ 공격 벡터
조작된 URL을 통해 SSRF(Server-Side Request Forgery) 방어 체계를 우회하여 내부망 접근
🛡️ 대응 방법
Microsoft UFO 프레임워크를 3.0.8 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전이 3.0.8보다 낮으면 취약한 상태이며, 3.0.8 이상이면 안전합니다.
pip show ufo | grep Version
💻 영향받는 소프트웨어
VMware Telco Cloud Platform