CVE-2024-49363 in Misskey
요약
\~에 의해 VulDB • 2026. 05. 31.
Misskey는 오픈 소스 연동형 소셜 미디어 플랫폼입니다. 영향을 받는 버전의 github.com/misskey-dev/misskey 2024.10.1 이하에서 FileServerService(미디어 프록시)는 프록시 루프를 감지하지 못했으며, 이로 인해 원격 공격자가 악의적으로 작성된 노트를 통해 자기 전파형 반사/증폭 분산 서비스 거부(DDoS)를 실행할 수 있습니다. FileServerService.prototype.proxyHandler는 들어오는 요청이 다른 프록시 서버에서 오는 것이 아닌지 확인하지 않았습니다. 공격자는 서버로 중첩된 프록시 요청을 보내고, 이를 다른 중첩된 프록시 요청으로 악의적으로 리디렉션하여 요청을 종료함으로써 증폭된 서비스 거부를 실행할 수 있습니다. 이는 원래 요청이 시간 초과될 때까지 무제한 재귀를 유발합니다. 이 문제는 버전 2024.11.0-alpha.3에서 해결되었습니다. 사용자는 업그레이드를 권장합니다. 업그레이드가 불가능한 사용자는 리버스 프록시를 구성하여 User-Agent 헤더가 비어 있거나 Misskey/를 포함하는 프록시 요청을 차단할 수 있습니다. 공격자는 서버에 다른 요청을 하지 않는 한 User-Agent 헤더를 효과적으로 수정할 수 없습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.