🇰🇷 한글 설명
AWS data.all 오픈소스 프레임워크의 데이터 파이프라인 설정 중 'Template' 필드에 파이썬 명령어를 주입하여 원격 코드 실행(RCE)이 가능한 취약점입니다. 인증된 사용자에 의해 발생할 수 있으며, data.all 1.2.0부터 1.5.1 버전이 영향을 받습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 데이터 설정 칸에 악성 코드를 입력하여 시스템을 마음대로 조종할 수 있는 보안 약점입니다. 이로 인해 서버 내의 중요한 데이터가 유출되거나 시스템이 파괴될 위험이 있습니다.
🇺🇸 원문 (English)
AWS data.all is an open source development framework to help users build a data marketplace on Amazon Web Services. data.all versions 1.2.0 through 1.5.1 do not prevent remote code execution when a user injects Python commands into the ‘Template’ field when configuring a data pipeline. The issue can only be triggered by authenticated users. A fix for this issue is available in data.all version 1.5.2 and later. There is no recommended work around.
📍 영향받는 시스템
AWS data.all versions 1.2.0 through 1.5.1
⚔️ 공격 벡터
인증된 사용자가 데이터 파이프라인의 'Template' 필드에 악성 파이썬 명령어를 주입하여 공격
🛡️ 대응 방법
data.all 버전을 1.5.2 이상으로 업데이트
🔧 검증 코드
출력된 버전이 1.5.2 미만(1.2.0 ~ 1.5.1)인 경우 해당 취약점에 노출된 상태입니다.
data-all --version 2>/dev/null || echo 'Version check required'