🇰🇷 한글 설명
infiniflow/ragflow v0.12.0 버전에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. RPC 서버에 하드코딩된 인증 키가 포함되어 있어 공격자가 제한 없이 통신 그룹에 참여할 수 있으며, pickle 역직렬화 과정에서 악성 코드가 실행될 수 있습니다.
💡 쉬운 설명
프로그램에 비밀번호가 미리 적혀 있어 누구나 쉽게 접속할 수 있고, 잘못된 데이터를 보냈을 때 해커의 명령어가 실행될 수 있는 위험한 상태입니다. 이로 인해 해커가 컴퓨터를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability in infiniflow/ragflow versions v0.12.0 allows for remote code execution. The RPC server in RagFlow uses a hard-coded AuthKey 'authkey=b'infiniflow-token4kevinhu'' which can be easily fetched by attackers to join the group communication without restrictions. Additionally, the server processes incoming data using pickle deserialization via `pickle.loads()` on `connection.recv()`, making it vulnerable to remote code execution. This issue is fixed in version 0.14.0.
📍 영향받는 시스템
infiniflow/ragflow v0.12.0
⚔️ 공격 벡터
하드코딩된 인증 키를 이용해 RPC 서버에 접속한 후, 악성 pickle 데이터를 전송하여 원격 코드 실행
🛡️ 대응 방법
RagFlow를 v0.14.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 v0.12.0이거나 그보다 낮은 버전이면 취약한 상태입니다.
pip show ragflow | grep Version