🇰🇷 한글 설명
matrix-appservice-irc의 1.0.1 미만 버전에서 줄바꿈 문자가 포함된 명령어를 적절히 처리하지 못하는 취약점이 발견되었습니다. 공격자가 채널 이름에 여러 명령어를 포함시켜 IRC 브리지 봇이 이를 실행하도록 유도할 수 있습니다.
💡 쉬운 설명
채널 이름을 정할 때 몰래 명령어를 섞어 넣으면, 봇이 이를 채널 이름이 아닌 실제 명령어로 착각해 실행해버리는 문제입니다. 이를 통해 공격자가 봇에게 원치 않는 동작을 시킬 수 있습니다.
🇺🇸 원문 (English)
matrix-appservice-irc is a Node.js IRC bridge for Matrix. Prior to version 1.0.1, it is possible to craft a command with newlines which would not be properly parsed. This would mean you could pass a string of commands as a channel name, which would then be run by the IRC bridge bot. Versions 1.0.1 and above are patched. There are no robust workarounds to the bug. One may disable dynamic channels in the config to disable the most common execution method but others may exist.
📍 영향받는 시스템
matrix-appservice-irc 1.0.1 미만 버전
⚔️ 공격 벡터
줄바꿈 문자가 포함된 악의적인 채널 이름을 생성하여 IRC 브리지 봇에 전달
🛡️ 대응 방법
matrix-appservice-irc를 1.0.1 이상의 버전으로 업데이트하거나 설정에서 dynamic channels 기능을 비활성화
🔧 검증 코드
출력된 버전 정보가 1.0.1 미만인지 확인
npm list matrix-appservice-irc