🇰🇷 한글 설명
Budibase backend-core의 REST 데이터 소스 쿼리 미리보기 기능에서 공유 주소 공간 범위인 100.64.0.0/10이 기본 블랙리스트에서 누락되었습니다. 이로 인해 Builder 권한을 가진 인증된 사용자가 해당 범위 내의 서비스로 SSRF 공격을 수행하여 서버의 응답을 탈취할 수 있습니다.
💡 쉬운 설명
서비스 내부의 특정 주소 대역이 보안 차단 목록에서 빠져 있는 취약점입니다. 공격자가 이를 이용해 서버가 내부 네트워크의 다른 서비스에 대신 요청을 보내고 그 결과를 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Budibase backend-core (@budibase/backend-core, as used by @budibase/server) omits the shared address space range 100.64.0.0/10 from its default SSRF blacklist (DEFAULT_BLACKLIST) used by REST datasource query previews. When the default blacklist is active (i.e., a self-hosted deployment has not defined BLACKLIST_IPS), an authenticated user with the Builder permission can submit a REST datasource query preview request to POST /api/queries/preview targeting a reachable HTTP(S) service in the 100.64.0.0/10 range, causing the server to send a request to that target and return its response through the preview flow. Per the advisory, no released fix was identified at the time of publication; remediation is to add 100.64.0.0/10 to DEFAULT_BLACKLIST.
📍 영향받는 시스템
Budibase backend-core (@budibase/backend-core) 및 @budibase/server를 사용하는 self-hosted 배포 환경
⚔️ 공격 벡터
Builder 권한을 가진 인증된 사용자가 POST /api/queries/preview 엔드포인트를 통해 100.64.0.0/10 범위의 주소로 요청을 전송
🛡️ 대응 방법
환경 변수 BLACKLIST_IPS를 설정하거나 DEFAULT_BLACKLIST에 100.64.0.0/10 범위를 추가하여 차단 목록을 업데이트해야 합니다.
🔧 검증 코드
명령어 실행 시 100.64.0.0/10 범위의 내부 서비스 응답이 반환되면 취약한 상태이며, 차단되었다면 오류가 발생해야 합니다.
curl -s -X POST http://<target-ip>:<port>/api/queries/preview -H 'Authorization: Bearer <token>' -d '{"url": "http://100.64.0.1"}'