🇰🇷 한글 설명
MaxKB 2.10.3-lts 및 이전 버전에서 지식 웹 문서 가져오기 기능의 크롤러가 인증된 사용자의 URL을 검증 없이 처리합니다. 이 과정에서 내부 네트워크 주소나 클라우드 메타데이터 주소에 대한 접근 제한이 없어, 저권한 사용자가 서버를 통해 내부 HTTP 서비스의 정보를 탈취할 수 있습니다.
💡 쉬운 설명
MaxKB의 문서 가져오기 기능이 내부 네트워크 주소를 제대로 확인하지 않는 보안 약점이 있습니다. 이를 통해 공격자는 권한이 낮더라도 서버를 이용해 내부의 중요한 정보나 클라우드 설정 정보를 몰래 읽어낼 수 있습니다.
🇺🇸 원문 (English)
MaxKB is an open-source AI assistant for enterprise. In version 2.10.3-lts and earlier, the knowledge web-document import and synchronization crawler passes an authenticated workspace user's URL to Fork.fork, which calls requests.get with verify=False and without restricting schemes, loopback, link-local, private, or reserved addresses. The response body is converted into imported document content, allowing a low-privileged user to read cloud metadata or internal HTTP services through the MaxKB server. No fixed version is available as of this review.
📍 영향받는 시스템
MaxKB 2.10.3-lts 및 그 이전 버전
⚔️ 공격 벡터
인증된 사용자가 웹 문서 동기화 시 내부망 또는 클라우드 메타데이터 URL을 입력하여 서버가 해당 주소로 요청을 보내게 유도
🛡️ 대응 방법
현재 고정된 패치 버전이 없으므로, 내부 네트워크 접근이 가능한 URL 입력을 차단하거나 네트워크 방화벽을 통해 서버의 내부 접근을 제한해야 합니다.
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 출력되면 해당 시스템은 보안 위협에 노출된 상태입니다.
curl -s http://<maxkb-server-ip>:<port>/api/version | grep -E '2.10.3-lts|2.10.2|2.10.1'