OWASP TOP 10 -A10 (Server-Side Request Forgery :서버 측 요청 위조)

A01	Broken Access Control (접근 권한 취약점)
A02	Cryptographic Failures (암호화 오류)
A03	Injection (인젝션)
A04	Insecure Design (안전하지 않은 설계)
A05	Security Misconfiguration (보안설정오류)
A06	Vulnerable and Outdated Components (취약하고 오래된 소스)
A07	Identification and Authentication Failures (식별 및 인증 오류)
A08	Software and Data Integrity Failures (소프트웨어 및 데이터 무결성 오류)
A09	Security Logging and Monitoring Failures (보안 로깅 및 모니터링 실패)
A10	Server-Side Request Forgery (서버 측 요청 위조)

A10 : Server-Side Request Forgery (서버 측 요청 위조)

• This category is added from the Top 10 community survey (#1). The data shows a relatively low incidence rate with above average testing coverage and above-average Exploit and Impact potential ratings. As new entries are likely to be a single or small cluster of Common Weakness Enumerations (CWEs) for attention and awareness, the hope is that they are subject to focus and can be rolled into a larger category in a future edition.
• 이 카테고리는 Top 10 커뮤니티 설문조사 결과를 바탕으로 추가되었다. 데이터에 따르면 발생률은 비교적 낮지만, 테스트 커버리지는 평균 이상이며, 익스플로잇 가능성과 영향력 역시 평균 이상이다. 이러한 신규 항목들은 주로 하나의 CWE 혹은 소규모 CWE 묶음으로 구성되어 있으며, 주목과 인식 제고를 위해 추가되었다.

설명

• SSRF 취약점은 웹 애플리케이션이 사용자가 제공한 URL의 유효성을 검사하지 않고 원격 리소스를 가져올 때마다 발생. 이를 악용해 공격자는 방화벽, VPN 또는 다른 유형의 네트워크 ACL(Access Control List: 접근 제어 목록)에 의해 보호되는 경우에도 애플리케이션이 조작된 요청을 의도치 않은 목적지로 보내도록 강제할 수 있다.

예방법

• 네트워크 계층(OSI 3계층)에서:
  • SSRF의 영향을 줄이기 위해 별도의 네트워크에서 원격 리소스 액세스 기능을 분할.
  • 방화벽 정책 혹은 네트워크 ACL을 적용하여 필수적인 트래픽을 제외한 모든 트래픽을 차단.
• 애플리케이션 계층(OSI 7계층)에서:
  • 모든 클라이언트가 제공한 입력 데이터를 정리하고 검증.
  • 긍정적인 허용 목록을 사용하여 URL 스키마, 포트 및 대상을 적용.
  • 클라이언트에게 raw responses(응답)을 하지 않을 것.
  • HTTP 리다이렉션 비활성화.

공격 시나리오 예시

시나리오 1: 내부 서버 포트 스캔 : 네트워크 아키텍처가 세분화되지 않은 경우 공격자는 내부 네트워크를 매핑하고 연결 결과 또는 SSRF 페이로드 연결을 연결하거나 거부하는 데 걸린 시간을 통해 내부 서버에서 포트가 열려 있는지 닫혀 있는지 확인할 수 있다.

시나리오 2:file:///etc/passwd 민감한 데이터 노출 : 공격자는 로컬 파일이나 내부 서비스에 액세스하여 및 와 같은 민감한 정보를 얻을 수 있다.

시나리오 3: 클라우드 서비스의 메타데이터 저장소 접근 : 대부분의 클라우드 제공업체는 [http://169.254.169.254] (AWS EC2 메타데이터 저장소의 링크 로컬 주소) 같은 메타데이터 저장소를 보유하고 있다.  공격자는 이 메타데이터를 읽어 민감한 정보를 획득할 수 있다.

시나리오 4: 내부 서비스 침해 : 공격자는 내부 서비스를 악용하여 원격 코드 실행(RCE)이나 서비스 거부(DoS)와 같은 추가 공격을 수행할 수 있다.

SSRF 항목의 CWE 목록

CWE-918 Server-Side Request Forgery (SSRF)

참고자료

https://owasp.org/www-project-top-ten/

https://velog.io/@minjeong-dev/2021-OWASP-10대-취약점

https://oobwrite.com/entry/OWASP-TOP10-2023-소개-및-정리

https://blog.alyac.co.kr/4135