🇰🇷 한글 설명
oras-go 라이브러리의 parseLink 함수가 레지스트리에서 제공하는 Link 헤더의 URL을 검증 없이 수용하여 발생하는 SSRF 취약점입니다. 공격자가 조작한 URL로 GET 요청을 유도함으로써 내부 서비스에 대한 Blind SSRF 공격이 가능하며, 특정 조건에서 자격 증명이 노출될 수 있습니다.
💡 쉬운 설명
프로그램이 외부에서 받은 주소를 확인 없이 따라가는 바람에, 공격자가 시키는 대로 내부 네트워크의 다른 컴퓨터에 몰래 접속을 시도할 수 있는 문제입니다. 이를 통해 내부 서비스의 존재 여부를 알아내거나 인증 정보를 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
oras-go is a Go library for managing OCI artifacts. Prior to 2.6.2, the parseLink function in registry/remote/utils.go accepts an absolute URL from a registry-controlled Link response header without validating its scheme, host, or port. Tags, Referrers, and Repositories pagination operations then issue a GET request to the attacker-selected URL from the victim's network, allowing blind server-side request forgery against internal services. The response body is not returned to the attacker, but timing and error differences can reveal service reachability, and credentials may be attached when the credential store has an entry for the target host. Exploitation requires a victim to perform a pagination-based listing operation against a malicious registry. The maintainer identifies this report as a duplicate of GHSA-3hr5-mjrr-hfjh and states that remediation is consolidated in that earlier advisory. The consolidated issue is fixed in version 2.6.2.
📍 영향받는 시스템
oras-go versions prior to 2.6.2
⚔️ 공격 벡터
악성 레지스트리를 대상으로 페이지네이션(Pagination) 작업을 수행하여 조작된 Link 헤더를 통한 Blind SSRF 유도
🛡️ 대응 방법
oras-go 라이브러리를 2.6.2 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전이 2.6.2 미만인 경우 해당 취약점에 노출된 상태입니다.
go list -m oras-go 2>/dev/null | grep -E 'oras-go v(2\.[0-6]\.[2-9]|2\.[7-9]\.|[3-9]\.)'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N
💻 영향받는 소프트웨어
Windows iSCSI Target Service