🇰🇷 한글 설명
Plone의 python_scripts.py에 있는 취약점으로, 인증되지 않은 공격자가 접근 권한이 없는 폴더에 대한 RSS 피드 요청을 통해 무한 루프를 유발하여 서비스 거부 공격을 수행할 수 있습니다.
💡 쉬운 설명
Plone 웹사이트에서 접근 권한이 없는 폴더의 RSS 피드를 요청하면 서버가 무한 루프에 빠져 응답 불가 상태가 됩니다. 공격자는 이를 이용해 정상 사용자들의 서비스 이용을 방해할 수 있습니다.
🇺🇸 원문 (English)
python_scripts.py in Plone before 4.2.3 and 4.3 before beta 1 allows remote attackers to cause a denial of service (infinite loop) via an RSS feed request for a folder the user does not have permission to access.
📍 영향받는 시스템
Plone 4.2.3 미만, Plone 4.3 베타 1 미만
⚔️ 공격 벡터
인증되지 않은 공격자가 HTTP GET 요청으로 접근 권한이 없는 폴더의 RSS 피드 엔드포인트에 반복 접근
🛡️ 대응 방법
Plone을 4.2.3 이상 또는 4.3 베타 1 이상으로 업그레이드
🔧 검증 코드
설치된 Plone의 버전을 확인하여 4.2.3 이상 또는 4.3.0 이상이면 패치됨을 확인할 수 있습니다.
pip list 2>/dev/null | grep -i plone | grep -E '4\.[23]\.[0-9]'