🇰🇷 한글 설명
Douyin_TikTok_Download_API 4.1.2 이하 버전의 /api/download 및 /api/hybrid/video_data 엔드포인트에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증되지 않은 공격자가 url 쿼리 매개변수를 조작하여 내부 서비스나 클라우드 메타데이터 엔드포인트에 접근하고 민감한 자격 증명을 탈취할 수 있습니다.
💡 쉬운 설명
해커가 웹사이트의 기능을 악용하여 서버가 내부의 비밀 정보나 다른 시스템에 대신 접속하도록 만드는 공격입니다. 이를 통해 서버 안에 숨겨진 중요한 비밀번호나 설정 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Douyin_TikTok_Download_API through 4.1.2 contains a server-side request forgery vulnerability in the /api/download and /api/hybrid/video_data endpoints that allows unauthenticated attackers to fetch arbitrary URLs by supplying a url query parameter. Attackers can request internal services including cloud metadata endpoints and retrieve response bodies containing sensitive credentials through error messages.
📍 영향받는 시스템
Douyin_TikTok_Download_API version 4.1.2 and below
⚔️ 공격 벡터
인증되지 않은 공격자가 /api/download 또는 /api/hybrid/video_data 엔드포인트의 url 매개변수에 악의적인 주소를 입력하여 공격
🛡️ 대응 방법
해당 API를 최신 버전으로 업데이트하거나, 입력된 url 매개변수에 대해 화이트리스트 기반의 도메인 검증 로직을 적용해야 합니다.
🔧 검증 코드
명령어 실행 결과로 클라우드 메타데이터(인스턴스 ID 등)가 출력되면 SSRF 취약점이 존재하는 상태입니다.
curl -s -X GET 'http://<target_ip>/api/download?url=http://169.254.169.254/latest/meta-data/' | grep -E 'instance-id|iam|security'