🇰🇷 한글 설명
Ruby on Rails PostgreSQL 어댑터의 범위 쿼팅 부작용으로 인한 SQL injection 취약점입니다. 특수하게 조작된 범위 객체를 통해 원격 공격자가 임의의 SQL 명령어를 실행할 수 있습니다.
💡 쉬운 설명
Rails 웹 애플리케이션이 데이터베이스에 데이터를 저장할 때 사용자 입력을 잘못 검증하여 SQL 공격 명령어가 실행되는 문제입니다. 공격자는 이를 악용하여 데이터베이스의 민감한 정보를 탈취하거나 변조할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in activerecord/lib/active_record/connection_adapters/postgresql/quoting.rb in the PostgreSQL adapter for Active Record in Ruby on Rails 4.x before 4.0.7 and 4.1.x before 4.1.3 allows remote attackers to execute arbitrary SQL commands by leveraging improper range quoting.
📍 영향받는 시스템
Ruby on Rails 4.0.0-4.0.6, 4.1.0-4.1.2 (PostgreSQL 어댑터 사용 시)
⚔️ 공격 벡터
PostgreSQL 범위 타입을 포함한 특수 조작된 요청을 통해 SQL injection 명령어 실행
🛡️ 대응 방법
Rails를 4.0.7 이상 또는 4.1.3 이상으로 업그레이드
🔧 검증 코드
Gemfile.lock에서 activerecord 버전이 4.0.7 미만 또는 4.1.3 미만이면 취약함
grep -r 'active_record.*version' Gemfile.lock 2>/dev/null | head -1