피드로 돌아가기
GeekNewsSecurity
원문 읽기
Axios 라이브러리의 헤더 주입(CRLF)을 악용한 클라우드 서버 권한 탈취 취약점
Axios CRLF 주입을 통한 IMDSv2 우회 및 IAM 권한 탈취 취약점
AI 요약
Context
Axios 라이브러리의 HTTP 헤더 필터링 미비로 인한 CRLF( ) 주입 가능성 상존. Prototype Pollution 취약점을 가진 타 라이브러리와 결합 시 공격 벡터가 활성화되는 구조적 결함.
Technical Solution
- Prototype Pollution을 통한 Axios 설정 객체 조작으로 악성 페이로드 주입 기반 마련
- CRLF 문자를 활용한 HTTP Request Smuggling 기법으로 정상 요청 뒤에 악성 요청 은닉
- 필터링되지 않은 헤더를 통해 클라우드 내부망의 AWS Metadata Service로 요청 전송
- IMDSv2 보안 장치를 우회하여 서버 인스턴스의 IAM Role 자격 증명 탈취
- 클라우드 관리자 권한 획득을 통한 전체 인프라 통제권 확보
실천 포인트
1. Axios 등 HTTP Client 라이브러리를 최신 버전으로 업데이트하여 CRLF 필터링 적용 여부 확인
2. 외부 입력값이 설정 객체(Config)에 직접 반영되지 않도록 입력값 검증 로직 강화
3. AWS IMDSv2 사용 시 Hop Limit 설정을 통해 요청 밀반입 및 전파 경로 차단 검토
4. Prototype Pollution 취약점 방지를 위해 Object.freeze() 또는 Map 자료구조 사용 고려