🇰🇷 한글 설명
HKUDS nanobot 0.3.0 미만 버전의 WebFetchTool 구성 요소에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. _validate_url() 함수가 내부 IP 범위 및 사설 주소를 차단하지 못해, 공격자가 클라우드 메타데이터 엔드포인트나 로컬호스트 서비스에 접근하여 IAM 자격 증명 및 내부 데이터를 탈취할 수 있습니다.
💡 쉬운 설명
봇이 웹사이트 정보를 가져오는 과정에서, 공격자가 시키는 대로 내부 네트워크나 보안이 필요한 관리자 페이지에 대신 접속하게 만드는 결함입니다. 이를 통해 공격자는 기업의 중요한 비밀번호나 내부 시스템 정보를 몰래 빼낼 수 있습니다.
🇺🇸 원문 (English)
HKUDS nanobot before 0.3.0 contains a server-side request forgery vulnerability in the WebFetchTool component where the _validate_url() function fails to block internal IP ranges and private addresses. Attackers can send messages instructing the bot to fetch cloud metadata endpoints, localhost services, and RFC 1918 addresses to extract IAM credentials and internal service data.
📍 영향받는 시스템
HKUDS nanobot version < 0.3.0
⚔️ 공격 벡터
WebFetchTool의 URL 검증 미흡을 이용한 악의적인 내부 IP/메타데이터 엔드포인트 요청 전송
🛡️ 대응 방법
HKUDS nanobot을 0.3.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.3.0 미만이면 취약한 상태입니다.
pip show hkuds-nanobot 2>/dev/null | grep Version