무슨 일이 있었나
Logto <1.43.0은 연결 주소를 검증하지 않고 관리자가 제어하는 아웃바운드 대상을 가져옵니다(웹훅 전달, Authorization 헤더에서 OAuth 액세스 토큰을 전달하는 사용자 지정 OAuth2 userInfoEndpoint, OIDC jwksUri). 따라서 웹훅/커넥터가 특수 용도 및 클라우드 메타데이터 주소에 도달하여 내부 데이터 또는 업스트림 공급자 자격 증명을 노출할 수 있습니다. 1.43.0에서 수정되었습니다.
왜 중요한가
AI 앱 인증 인프라에서 인증된 관리자 주도 아웃바운드 가져오기에서 도달할 수 있는 클라우드 메타데이터(IMDS)는 AI 워크로드가 보유한 인스턴스 자격 증명으로 피벗하는 데 사용될 수 있으며 OAuth2 커넥터는 사용자 액세스 토큰을 공격자가 선택한 엔드포인트로 전달합니다 - AI 앱의 인증 계층에서 SSRF와 OAuth 토큰 유출입니다.
공격 경로
관리자가 구성한 웹훅/커넥터 URL이 특수 용도 또는 클라우드 메타데이터 주소를 대상으로 하거나, 공격자가 선택한 userInfoEndpoint/jwksUri가 커넥터 가져오기 중에 OAuth 토큰을 전달합니다.
영향받는 시스템
Logto < 1.43.0 (AI/인증 인프라)
완화 방안
Logto 1.43.0+로 업그레이드하세요. 아웃바운드 훅 대상을 검증/SSRF-보호하세요.