CVE-2026-24117 in rekor
요약
\~에 의해 VulDB • 2026. 08. 17.
Rekor는 소프트웨어 공급망 투명성 로그입니다. 버전 1.4.3 및 그 이하 버전에서는 공격자가 /api/v1/index/retrieve가 사용자 제공 URL을 통해 공개 키를 검색할 수 있기 때문에 임의의 내부 서비스에 대한 SSRF(Server-Side Request Forgery)를 유발할 수 있습니다. SSRF는 GET 요청만 트리거할 수 있으므로, 요청은 상태를 변경하지 못합니다. GET 요청에서의 응답은 호출자에게 반환되지 않으므로 데이터 유출(data exfiltration)은 불가능합니다. 악성 행위자는 Blind SSRF를 통해 내부 네트워크를 스캔하려고 시도할 수 있습니다. 이 문제는 버전 1.5.0에서 수정되었습니다. 이 문제를 우회하려면 --enable_retrieve_api=false 옵션을 사용하여 검색 엔드포인트를 비활성화하십시오.
If you want to get best quality of vulnerability data, you may have to visit VulDB.