🇰🇷 한글 설명
Gipsy 디스코드 봇 1.3 미만 버전에서 발생하는 취약점으로, !ping 명령어를 사용할 때 입력값 검증이 이루어지지 않습니다. 공격자가 악의적인 IP나 호스트명을 입력하면 시스템이 이를 검증 없이 bash 명령어로 실행하며, 이 과정이 sudo 권한으로 수행되어 임의의 명령어를 실행할 수 있습니다.
💡 쉬운 설명
디스코드 봇의 특정 명령어를 통해 해커가 서버의 관리자 권한을 탈취할 수 있는 보안 구멍이 발견되었습니다. 해커가 명령어를 교묘하게 섞어 보내면 서버 컴퓨터를 마음대로 조종할 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
Gipsy is a multi-purpose discord bot which aim to be as modular and user-friendly as possible. In versions prior to 1.3 users can run command on the host machine with sudoer permission. The `!ping` command when provided with an IP or hostname used to run a bash `ping <IP>` without verification that the IP or hostname was legitimate. This command was executed with root permissions and may lead to arbitrary command injection on the host server. Users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
Gipsy Discord Bot versions prior to 1.3
⚔️ 공격 벡터
디스코드 채널에서 !ping 명령어 뒤에 악의적인 쉘 명령어가 포함된 IP 또는 호스트명을 입력하여 공격
🛡️ 대응 방법
Gipsy 디스코드 봇을 1.3 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.3 미만(예: 1.2.x)이면 취약한 상태이며, 1.3 이상이면 안전합니다.
python3 -c "import gipsy; print(gipsy.__version__)" 2>/dev/null || echo 'Version check failed'