🇰🇷 한글 설명
Rails 버전 5.2.4.3 미만 및 6.0.3.1 미만에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 존재합니다. 공격자가 MemCacheStore 또는 RedisCacheStore를 통해 사용자 제공 객체를 언마샬링함으로써 원격 코드 실행(RCE)을 수행할 수 있습니다.
💡 쉬운 설명
해커가 조작된 데이터를 보내 서버가 이를 잘못 읽게 만들어, 서버를 마음대로 조종할 수 있는 보안 구멍입니다. 캐시 저장소를 사용하는 웹 서비스에서 발생할 수 있는 매우 위험한 문제입니다.
🇺🇸 원문 (English)
A deserialization of untrusted data vulnernerability exists in rails < 5.2.4.3, rails < 6.0.3.1 that can allow an attacker to unmarshal user-provided objects in MemCacheStore and RedisCacheStore potentially resulting in an RCE.
📍 영향받는 시스템
Ruby on Rails < 5.2.4.3, Ruby on Rails < 6.0.3.1
⚔️ 공격 벡터
MemCacheStore 또는 RedisCacheStore에 조작된 직렬화 객체를 주입하여 원격 코드 실행
🛡️ 대응 방법
Rails 버전을 5.2.4.3 이상 또는 6.0.3.1 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 Rails 버전을 확인하여 취약한 버전 범위(5.2.4.3 미만 또는 6.0.3.1 미만)에 해당하는지 체크합니다.
bundle info rails | grep 'Summary' || gem list rails