🇰🇷 한글 설명
ms-swift 4.5.2 버전의 OpenAI 호환 API 배포 기능에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증되지 않은 공격자가 검증되지 않은 멀티모달 미디어 URL을 제공하여 서버가 내부 서비스나 클라우드 메타데이터 엔드포인트로 요청을 보내도록 유도할 수 있습니다.
💡 쉬운 설명
해커가 가짜 이미지나 영상 주소를 보내면, 서버가 그 주소로 접속을 시도하는 점을 악용하는 문제입니다. 이를 통해 서버 내부의 중요한 정보나 관리자 페이지에 몰래 접근할 수 있습니다.
🇺🇸 원문 (English)
ms-swift 4.5.2 contains a server-side request forgery vulnerability in the swift deploy OpenAI-compatible API that fetches multimodal media URLs without validation or redirect filtering. Unauthenticated attackers can supply arbitrary image_url, audio_url, or video_url parameters to make the server issue requests to internal services and cloud metadata endpoints.
📍 영향받는 시스템
ms-swift 4.5.2 및 OpenAI 호환 API를 사용하는 배포 환경
⚔️ 공격 벡터
인증되지 않은 사용자가 API 파라미터(image_url, audio_url, video_url)에 악의적인 내부 네트워크 주소를 입력하여 공격
🛡️ 대응 방법
ms-swift를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 입력된 URL에 대한 화이트리스트 검증 및 리다이렉트 필터링 로직을 구현해야 합니다.
🔧 검증 코드
출력된 버전이 4.5.2와 일치하거나 해당 취약점이 포함된 범위인지 확인합니다.
pip show ms-swift 2>/dev/null | grep -E 'Version'