아파치 알루라(Allura) 1.21.0 보안 릴리스 - 웹훅 SSRF 등 CVE 4건 수정
1. 개요 아파치 소프트웨어 재단이 프로젝트 호스팅 플랫폼 알루라(Apache Allura)의 보안 릴리스 1.21.0을 내놨습니다. 관련 공지는 9월 3일 재단 공식 announce 메일에 올라왔고, CVE는 9월 4일자로 공개됐습니다. 취약점 4건이 한꺼번에 보고됐고 모두 1.20.0 이하 버전에 영향을 주며, 해결책은 1.21.0으로 올리는 것 하나입니다. 알루라는 깃, SVN 저장소와 이슈 트래커, 위키, 웹훅을 묶어 제공하는 오픈소스 포지 소프트웨어로, 소스포지(SourceForge)를 구동하는 바로 그 엔진입니다.
2. 수정된 취약점
- CVE-2026-80181 - 웹훅 기능의 서버측 요청 위조(SSRF), 심각도 Important
- CVE-2026-81270 - 검색을 통한 비공개 정보 노출(CVSS 7.5)
- CVE-2026-80190 - SVN 저장소를 경유한 저장형 XSS(CVSS 6.1)
- CVE-2026-80180 - 마크다운 HTML 처리 과정의 저장형 XSS(CVSS 6.1)
3. 왜 챙겨야 하나 네 건 중에 손이 먼저 가는 건 웹훅 SSRF입니다. 웹훅은 서버가 외부로 HTTP 요청을 대신 쏴 주는 구조라, 요청 대상을 조작할 수 있으면 내부망 주소나 클라우드 메타데이터 엔드포인트 같은 곳으로 서버가 요청을 날리게 만들 수 있습니다. 저장형 XSS 두 건은 여러 사용자가 한 인스턴스를 함께 쓰는 포지 특성상 다른 사용자의 화면에서 스크립트가 실행될 여지가 있고, 검색 정보 노출은 원래 안 보여야 할 데이터가 검색 결과로 새어 나오는 문제입니다.
4. 조치 자체 호스팅으로 알루라를 돌리고 있다면 1.20.0 이하는 전부 대상이므로 1.21.0으로 업그레이드하면 됩니다. 부분 완화책은 공지에 따로 없고, 넷 다 같은 릴리스에서 정리됐으니 버전만 올리면 한 번에 닫힙니다. 외부에 웹훅을 열어 둔 인스턴스라면 우선순위를 조금 더 높게 두는 편이 좋아 보입니다.
🔗 http://www.mail-archive.com/announce@apache.org/msg11829.html
로그인 후 답글을 남길 수 있습니다.