🇰🇷 한글 설명
docker-compose-remote-api 0.1.4 이하 버전에서 임의의 명령어를 실행할 수 있는 취약점이 발견되었습니다. 'index.js' 파일 내의 'exec' 함수가 사용자로부터 입력받은 'serviceName' 변수를 적절한 검증 없이 사용하기 때문에 발생합니다.
💡 쉬운 설명
해커가 서비스 이름을 조작하여 컴퓨터에 원하는 명령을 마음대로 내릴 수 있는 보안 구멍입니다. 이를 통해 공격자가 시스템의 제어권을 완전히 탈취할 수 있습니다.
🇺🇸 원문 (English)
docker-compose-remote-api through 0.1.4 allows execution of arbitrary commands. Within 'index.js' of the package, the function 'exec(serviceName, cmd, fnStdout, fnStderr, fnExit)' uses the variable 'serviceName' which can be controlled by users without any sanitization.
📍 영향받는 시스템
docker-compose-remote-api version 0.1.4 및 그 이하 버전
⚔️ 공격 벡터
검증되지 않은 serviceName 변수를 통한 명령 주입(Command Injection)
🛡️ 대응 방법
해당 패키지를 최신 보안 패치가 적용된 버전으로 업데이트하거나 입력값 검증 로직을 추가해야 합니다.
🔧 검증 코드
출력된 결과에서 docker-compose-remote-api의 버전이 0.1.4 이하인지 확인합니다.
npm list docker-compose-remote-api