🇰🇷 한글 설명
Roxy-WI는 Haproxy, Nginx, Apache 및 Keepalived 서버를 관리하는 웹 인터페이스입니다. 6.1.1.0 미만 버전에서는 /app/options.py 파일의 subprocess_execute 함수가 사용자 입력을 적절히 처리하지 않아 원격 코드 실행(RCE) 취약점이 발생합니다. 공격자는 인증 없이도 시스템 명령을 원격으로 실행할 수 있습니다.
💡 쉬운 설명
서버 관리 도구인 Roxy-WI의 보안 허점으로 인해, 해커가 로그인하지 않고도 서버에 몰래 명령을 내려 제어권을 뺏을 수 있는 위험한 상태입니다. 이 취약점을 이용하면 서버의 모든 데이터를 조작하거나 파괴할 수 있습니다.
🇺🇸 원문 (English)
Roxy-WI is a web interface for managing Haproxy, Nginx, Apache and Keepalived servers. Versions prior to 6.1.1.0 are subject to a remote code execution vulnerability. System commands can be run remotely via the subprocess_execute function without processing the inputs received from the user in the /app/options.py file. Attackers need not be authenticated to exploit this vulnerability. Users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
Roxy-WI versions prior to 6.1.1.0
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 입력을 통해 원격으로 시스템 명령을 실행하는 방식
🛡️ 대응 방법
Roxy-WI를 6.1.1.0 이상의 최신 버전으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 6.1.1.0보다 낮으면 취약한 상태입니다.
pip show roxy-wi | grep Version