🇰🇷 한글 설명
matrix-appservice-irc는 Matrix를 위한 오픈 소스 Node.js IRC 브리지입니다. node-irc 라이브러리의 버그로 인해 여러 모드를 포함한 명령어를 잘못 파싱하여 권한이 없는 사용자에게 잘못된 권한이 부여될 수 있는 취약점이 존재합니다. 이 취약점은 운영자가 공격자의 의도대로 명령어를 실행하도록 유도될 때 악용될 수 있습니다.
💡 쉬운 설명
IRC 채팅 서비스에서 여러 명령을 한꺼번에 내릴 때 발생하는 오류로, 공격자가 교묘하게 명령어를 섞으면 관리자 권한을 가로챌 수 있습니다. 관리자가 믿을 수 없는 사용자가 제안한 명령어를 그대로 입력할 경우 위험할 수 있습니다.
🇺🇸 원문 (English)
matrix-appservice-irc is an open source Node.js IRC bridge for Matrix. The Internet Relay Chat (IRC) protocol allows you to specify multiple modes in a single mode command. Due to a bug in the underlying matrix-org/node-irc library, affected versions of matrix-appservice-irc perform parsing of such modes incorrectly, potentially resulting in the wrong user being given permissions. Mode commands can only be executed by privileged users, so this can only be abused if an operator is tricked into running the command on behalf of an attacker. The vulnerability has been patched in matrix-appservice-irc 0.35.0. As a workaround users should refrain from entering mode commands suggested by untrusted users. Avoid using multiple modes in a single command.
📍 영향받는 시스템
matrix-appservice-irc 0.35.0 미만 버전
⚔️ 공격 벡터
공격자가 조작된 다중 모드 명령어를 관리자에게 실행하도록 유도하는 사회 공학적 공격
🛡️ 대응 방법
matrix-appservice-irc를 0.35.0 이상 버전으로 업데이트하거나, 신뢰할 수 없는 사용자의 모드 명령어를 실행하지 않아야 합니다.
🔧 검증 코드
출력된 버전 번호가 0.35.0 미만인지 확인합니다.
npm list matrix-appservice-irc 2>/dev/null | grep matrix-appservice-irc