🇰🇷 한글 설명
Discord 관리 봇인 SudoBot의 9.26.7 미만 버전에서 권한 상승 및 -config 명령어를 악용할 수 있는 취약점이 발견되었습니다. 공격자는 이론적으로 봇의 모든 설정을 업데이트하여 봇에 대한 제어권을 획득할 수 있습니다.
💡 쉬운 설명
디스코드 관리용 봇의 설정 명령어를 누구나 사용할 수 있어, 해커가 봇의 설정을 마음대로 바꿀 수 있는 위험한 상태입니다. 봇의 권한을 탈취당할 수 있으므로 즉시 업데이트가 필요합니다.
🇺🇸 원문 (English)
SudoBot, a Discord moderation bot, is vulnerable to privilege escalation and exploit of the `-config` command in versions prior to 9.26.7. Anyone is theoretically able to update any configuration of the bot and potentially gain control over the bot's settings. Every version of v9 before v9.26.7 is affected. Other versions (e.g. v8) are not affected. Users should upgrade to version 9.26.7 to receive a patch. A workaround would be to create a command permission overwrite in the Database. A SQL statement provided in the GitHub Security Advisor can be executed to create a overwrite that disallows users without `ManageGuild` permission to run the `-config` command. Run the SQL statement for every server the bot is in, and replace `<guild_id>` with the appropriate Guild ID each time.
📍 영향받는 시스템
SudoBot v9 버전 중 v9.26.7 미만 모든 버전
⚔️ 공격 벡터
-config 명령어를 통한 권한 없는 사용자의 설정 변경 및 권한 상승
🛡️ 대응 방법
SudoBot을 v9.26.7 이상으로 업데이트하거나, 데이터베이스에서 ManageGuild 권한이 없는 사용자의 -config 명령 실행을 차단하는 SQL 명령어를 실행하십시오.
🔧 검증 코드
출력 결과에 9.26.7보다 낮은 버전의 태그가 나타나면 취약한 버전이 설치되어 있을 가능성이 높습니다.
curl -s https://api.github.com/repos/SudoBot/SudoBot/releases | grep -E 'tag_name' | grep -v '9.26.7'