🇰🇷 한글 설명
Plone 2.5-2.5.4 및 3.0-3.0.2 버전의 statusmessages, linkintegrity 모듈에서 신뢰할 수 없는 pickle 객체를 안전하지 않게 역직렬화합니다. 원격 공격자가 조작된 pickle 데이터를 전송하여 대상 서버에서 임의의 Python 코드를 실행할 수 있습니다.
💡 쉬운 설명
Plone 웹 만들기 도구의 일부 기능이 외부에서 받은 데이터를 검증하지 않고 실행합니다. 공격자가 특별히 만든 데이터를 보내면 서버를 완전히 제어할 수 있습니다.
🇺🇸 원문 (English)
Plone 2.5 through 2.5.4 and 3.0 through 3.0.2 allows remote attackers to execute arbitrary Python code via network data containing pickled objects for the (1) statusmessages or (2) linkintegrity module, which the module unpickles and executes.
📍 영향받는 시스템
Plone 2.5.0-2.5.4, 3.0.0-3.0.2
⚔️ 공격 벡터
네트워크 인터페이스를 통해 statusmessages/linkintegrity 모듈로 악의적인 pickle 객체 전송
🛡️ 대응 방법
Plone을 2.5.5 이상 또는 3.0.3 이상으로 업그레이드
🔧 검증 코드
Plone 버전이 2.5.5 미만 또는 3.0.3 미만이면 취약상태; Version 항목이 없으면 미설치 상태
pip show Plone 2>/dev/null | grep Version || echo 'Not installed'