Vimeo SSRF 클라우드 메타데이터 사례 분석

2019년, 보안 연구자 Harsh Jaiswal은 Vimeo의 API 콘솔이 서버 쪽에서 대신 요청을 보내주는 기능을 분석하다가, URL 경로의 일부로 취급되는 파라미터에 경로 순회(path traversal) 문자열을 넣을 수 있다는 걸 발견했습니다. 이 결함은 오픈 리다이렉트와 이어 붙여져 서버 쪽 요청 위조(SSRF)로 이어졌고, 최종적으로는 Vimeo가 올라가 있던 클라우드 인프라의 메타데이터 서비스까지 건드릴 수 있는 수준까지 갔습니다. 원문에 따르면 초기 임시 조치 보상 100달러에 이어 영구 수정 확인 후 4,900달러가 추가 지급돼, 합계 5,000달러가 지급됐습니다.