🇰🇷 한글 설명
S3QL 1.18.1 및 이전 버전에서 Python pickle 모듈을 안전하지 않게 사용하여 발생하는 원격 코드 실행 취약점입니다. 공격자가 backends/의 common.py 또는 local.py를 통해 악의적으로 조작된 직렬화 객체를 전송하면 임의 코드 실행이 가능합니다.
💡 쉬운 설명
S3QL의 데이터 읽기 방식이 안전하지 않아서 악의적인 파일을 받으면 해커가 컴퓨터를 원격으로 제어할 수 있습니다. 해당 버전을 사용 중이면 반드시 업데이트가 필요합니다.
🇺🇸 원문 (English)
S3QL 1.18.1 and earlier uses the pickle Python module unsafely, which allows remote attackers to execute arbitrary code via a crafted serialized object in (1) common.py or (2) local.py in backends/.
📍 영향받는 시스템
S3QL 1.18.1 및 이전 버전 (Linux, macOS, Windows)
⚔️ 공격 벡터
원격 공격자가 pickle 역직렬화 취약점을 악용하여 네트워크를 통해 악의적인 직렬화 객체 전송
🛡️ 대응 방법
S3QL을 1.19 이상으로 즉시 업그레이드 (pip install --upgrade s3ql)
🔧 검증 코드
출력된 버전이 1.19 이상이면 안전, 1.18.1 이하이면 즉시 업그레이드 필요
pip show s3ql 2>/dev/null | grep Version | awk '{print $2}'