🇰🇷 한글 설명
OpenCTI의 synchronizerFetch GraphQL 쿼리가 원격 스트림 URL의 프로토콜만 확인하고 내부 네트워크나 클라우드 메타데이터 엔드포인트에 대한 접근을 제한하지 않는 취약점입니다. INGESTION 권한을 가진 인증된 사용자는 이를 이용해 내부 서비스를 스캔하거나 민감한 데이터를 탈취할 수 있습니다.
💡 쉬운 설명
해커가 권한을 이용해 OpenCTI 시스템이 내부 네트워크의 다른 컴퓨터나 중요한 설정 정보에 접속하도록 명령을 내릴 수 있는 문제입니다. 이를 통해 내부 네트워크의 구조를 파악하거나 숨겨진 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
OpenCTI is an open source platform for managing cyber threat intelligence knowledge and observables. Prior to 7.260701.0, the synchronizerFetch GraphQL query called fetchRemoteStreams after checking only that a remote stream URL used HTTP or HTTPS. The backend did not apply the ingestion deny list or reject private, loopback, and link-local destinations, allowing an authenticated account with the INGESTION capability to make OpenCTI request internal services and cloud metadata endpoints. Returned connection errors could distinguish open HTTP ports, open non-HTTP ports, and closed ports, enabling internal network scanning, while compatible endpoint responses could disclose internal data. This issue is fixed in version 7.260701.0.
📍 영향받는 시스템
OpenCTI versions prior to 7.260701.0
⚔️ 공격 벡터
인증된 사용자가 INGESTION 권한을 사용하여 악의적인 내부 URL을 GraphQL 쿼리로 전송 (SSRF)
🛡️ 대응 방법
OpenCTI를 최신 버전인 7.260701.0 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 7.260701.0 이상의 버전 번호가 출력되면 취약점이 해결된 상태입니다.
curl -s http://localhost:8080/api/v2/version | grep -E '7.260701.0'