🇰🇷 한글 설명
SecOps SOAR 서버의 커스텀 통합 기능에서 인증된 'IDE 역할' 사용자가 원격 코드 실행(RCE)을 수행할 수 있는 취약점이 발견되었습니다. 업로드된 Python 패키지 코드의 검증이 미흡하여, 악성 setup.py 파일이 포함된 패키지를 업로드할 경우 설치 과정에서 서버 코드가 실행되어 시스템이 탈취될 수 있습니다.
💡 쉬운 설명
권한을 가진 사용자가 조작된 파이썬 설치 파일을 올리면 서버가 이를 실행하면서 해커의 명령을 수행하게 되는 문제입니다. 이로 인해 서버의 제어권이 통째로 넘어갈 위험이 있습니다.
🇺🇸 원문 (English)
A vulnerability exists in the SecOps SOAR server. The custom integrations feature allowed an authenticated user with an "IDE role" to achieve Remote Code Execution (RCE) in the server. The flaw stemmed from weak validation of uploaded Python package code. An attacker could upload a package containing a malicious setup.py file, which would execute on the server during the installation process, leading to potential server compromise.
No customer action is required.
All customers have been automatically upgraded to the fixed version: 6.3.64 or higher.
📍 영향받는 시스템
SecOps SOAR server (6.3.64 미만 버전)
⚔️ 공격 벡터
IDE 권한을 가진 사용자가 악성 setup.py가 포함된 Python 패키지를 업로드하여 설치 프로세스를 유도함
🛡️ 대응 방법
SecOps SOAR 서버를 수정된 버전인 6.3.64 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 6.3.64 이상의 버전 번호가 출력되면 취약점이 해결된 상태입니다.
curl -s http://<SOAR_SERVER_IP>/api/version | grep -E '6.3.64'