🇰🇷 한글 설명
CKAN 데이터 관리 시스템의 특정 버전에서 ckan 사용자가 코드 및 설정 파일의 소유권을 가지며 sudo 권한을 보유하는 취약점이 발견되었습니다. 이로 인해 임의 파일 쓰기 취약점이 존재할 경우 코드 실행이나 권한 상승이 가능합니다.
💡 쉬운 설명
시스템 관리자 권한을 가진 사용자가 일반 사용자 계정으로도 중요한 파일을 수정하거나 시스템 전체를 제어할 수 있는 보안 허점이 있습니다. 만약 다른 작은 구멍을 통해 파일을 쓸 수 있다면, 공격자가 컴퓨터의 주인 권한을 통째로 뺏을 수 있습니다.
🇺🇸 원문 (English)
CKAN is an open-source data management system for powering data hubs and data portals. Prior to versions 2.9.9 and 2.10.1, the `ckan` user (equivalent to www-data) owned code and configuration files in the docker container and the `ckan` user had the permissions to use sudo. These issues allowed for code execution or privilege escalation if an arbitrary file write bug was available. Versions 2.9.9, 2.9.9-dev, 2.10.1, and 2.10.1-dev contain a patch.
📍 영향받는 시스템
CKAN versions prior to 2.9.9 and 2.10.1
⚔️ 공격 벡터
임의 파일 쓰기 취약점과 결합하여 sudo 권한을 이용한 권한 상승 또는 코드 실행
🛡️ 대응 방법
CKAN을 2.9.9, 2.9.9-dev, 2.10.1 또는 2.10.1-dev 이상의 패치된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.9.9 또는 2.10.1 미만인지 확인하여 취약 여부를 판단합니다.
pip show ckan | grep Version