🇰🇷 한글 설명
Marqo 2.26.0 버전의 add_documents 엔드포인트에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 악의적인 미디어 필드 값을 입력하여 인증 없이 임의의 URL로 요청을 보낼 수 있으며, 이를 통해 내부 서비스나 클라우드 메타데이터 엔드포인트에 접근할 수 있습니다.
💡 쉬운 설명
해커가 가짜 주소를 입력하여 서버가 내부의 중요한 정보나 다른 컴퓨터에 대신 접속하게 만드는 공격입니다. 이를 통해 서버 내부의 비밀 데이터가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Marqo 2.26.0 contains a server-side request forgery vulnerability in the add_documents endpoint that allows unauthenticated attackers to trigger requests to arbitrary URLs by supplying malicious media field values. Attackers can exploit download_image_from_url and fetch_content_sample functions which lack destination filtering and host validation to access internal services and cloud metadata endpoints.
📍 영향받는 시스템
Marqo 2.26.0 이하 버전
⚔️ 공격 벡터
add_documents 엔드포인트의 media 필드에 악의적인 URL 주소를 삽입하여 공격
🛡️ 대응 방법
Marqo를 최신 보안 패치가 적용된 버전으로 업데이트하고, 입력값에 대한 호스트 검증 로직을 강화하십시오.
🔧 검증 코드
출력된 버전이 2.26.0과 일치하거나 해당 취약점이 포함된 버전인지 확인하십시오.
pip show marqo | grep -E 'Version'