🇰🇷 한글 설명
MacOS용 Druva inSync 6.9.0 버전에서 발생하는 커맨드 인젝션 취약점입니다. 파이썬의 os.system 라이브러리 호출 시 입력값이 제대로 검증되지 않아, 공격자가 조작된 페이로드를 통해 로컬 HTTP 서버에서 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
프로그램이 사용자의 명령어를 제대로 확인하지 않고 실행하여 발생하는 보안 문제입니다. 해커가 특수한 코드를 보내면 컴퓨터에 몰래 명령을 내려 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
Command injection vulnerability in Druva inSync 6.9.0 for MacOS, allows attackers to execute arbitrary commands via crafted payload to the local HTTP server due to un-sanitized call to the python os.system library.
📍 영향받는 시스템
Druva inSync 6.9.0 (MacOS)
⚔️ 공격 벡터
로컬 HTTP 서버로 조작된 페이로드를 전송하여 임의의 명령 실행
🛡️ 대응 방법
Druva inSync를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
설치된 Druva inSync의 버전을 확인하여 6.9.0 이하인지 점검합니다.
brew list --cask druva-insync 2>/dev/null | grep -i 'insync'