🇰🇷 한글 설명
Eclipse Ditto 3.0.0~3.9.6 버전에서 Things 서비스가 Thing 또는 Feature의 definition 필드에 제공된 URL을 통해 WoT ThingModels를 가져올 때 대상 호스트를 검증하지 않는 취약점이 발견되었습니다. 인증된 사용자가 임의의 HTTP GET 요청을 내부 네트워크로 유도하여 클라우드 인스턴스 메타데이터나 내부 서비스에 접근하고 이를 통해 내부 네트워크 구조를 정찰할 수 있습니다.
💡 쉬운 설명
해커가 시스템에 가짜 주소를 입력하면, 서버가 그 주소로 접속을 시도하는 과정에서 내부의 중요한 정보까지 몰래 가져오게 만드는 보안 약점입니다. 이를 통해 공격자는 회사 내부 네트워크에 숨겨진 다른 컴퓨터나 서비스들의 정보를 알아낼 수 있습니다.
🇺🇸 원문 (English)
In Eclipse Ditto versions 3.0.0 to 3.9.6, the Things service fetches WoT (Web of Things) ThingModels over HTTP from URLs supplied by API users in the definition field of a Thing or Feature, without validating the target host, and follows HTTP redirects without re-validating the redirect target and without a hop limit. An authenticated user who is permitted to create a Thing, or who holds WRITE permission on an existing Thing, can thereby cause the Things service to issue arbitrary HTTP GET requests from inside the deployment's network — including to cloud instance-metadata endpoints and other internal services — and can use the differing error responses returned to the caller to enumerate internal services. Versions 2.4.0 to 2.5.x contain the same code, but are only affected where the operator explicitly enabled the WoT integration feature toggle, which is disabled by default in those versions.
📍 영향받는 시스템
Eclipse Ditto 3.0.0 ~ 3.9.6 및 WoT 기능이 활성화된 2.4.0 ~ 2.5.x 버전
⚔️ 공격 벡터
인증된 사용자가 Thing 정의 필드에 악의적인 내부 네트워크 URL을 입력하여 서버가 이를 호출하도록 유도 (SSRF)
🛡️ 대응 방법
Eclipse Ditto를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 사용하지 않는 경우 WoT 통합 기능을 비활성화하십시오.
🔧 검증 코드
현재 배포된 Eclipse Ditto의 버전을 확인하여 취약한 버전 범위(3.0.0-3.9.6 또는 WoT 활성화된 2.4.0-2.5.x)에 해당하는지 확인합니다.
echo 'eclipse-ditto' | grep -i 'version' || echo 'Check your deployment manifest for Eclipse Ditto version'