🇰🇷 한글 설명
Graphite 0.9.5~0.9.10의 render/views.py의 renderLocalView 함수에서 Python pickle 모듈을 안전하지 않게 사용하여 공격자가 조작된 직렬화 객체를 통해 원격에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
Graphite 모니터링 도구가 신뢰할 수 없는 데이터를 안전하게 검증하지 않습니다. 공격자가 악의적인 데이터를 보내 서버에서 원하는 프로그램을 실행할 수 있습니다.
🇺🇸 원문 (English)
The renderLocalView function in render/views.py in graphite-web in Graphite 0.9.5 through 0.9.10 uses the pickle Python module unsafely, which allows remote attackers to execute arbitrary code via a crafted serialized object.
📍 영향받는 시스템
Graphite 0.9.5 ~ 0.9.10
⚔️ 공격 벡터
HTTP 요청을 통해 조작된 Python pickle 직렬화 객체를 renderLocalView 함수에 전송
🛡️ 대응 방법
Graphite를 0.9.11 이상으로 업그레이드하거나 pickle 대신 json 등 안전한 직렬화 형식 사용
🔧 검증 코드
Version이 0.9.10 이하면 취약, 0.9.11 이상이면 패치됨
pip show graphite-web 2>/dev/null | grep -i version