🇰🇷 한글 설명
Google App Engine Python SDK 1.5.4 이전 버전의 Interactive Console에서 CSRF 취약점이 발견되었습니다. 공격자는 이 취약점을 악용하여 관리자의 인증을 탈취하고 _ah/admin/interactive/execute 엔드포인트를 통해 임의의 Python 코드를 실행할 수 있습니다.
💡 쉬운 설명
Google App Engine의 관리 콘솔에서 관리자가 실수로 악의적인 링크를 클릭하면, 공격자가 관리자 권한으로 악성 코드를 실행할 수 있는 문제입니다. 이는 관리자의 컴퓨터에서 비승인 명령을 몰래 실행할 수 있다는 의미입니다.
🇺🇸 원문 (English)
Cross-site request forgery (CSRF) vulnerability in _ah/admin/interactive/execute (aka the Interactive Console) in the SDK Console (aka Admin Console) in the Google App Engine Python SDK before 1.5.4 allows remote attackers to hijack the authentication of administrators for requests that execute arbitrary Python code via the code parameter.
📍 영향받는 시스템
Google App Engine Python SDK 버전 < 1.5.4
⚔️ 공격 벡터
관리자를 악의적인 웹사이트로 유도하여 CSRF 공격으로 Interactive Console의 code 파라미터를 통해 Python 코드 실행
🛡️ 대응 방법
Google App Engine Python SDK를 1.5.4 이상으로 업그레이드하여 패치 적용
🔧 검증 코드
설치된 Google App Engine 관련 패키지의 버전을 확인합니다. 1.5.4 미만이면 취약하며, 1.5.4 이상이면 안전합니다.
pip list 2>/dev/null | grep -i appengine