🇰🇷 한글 설명
Daptin 0.10.3 버전의 Aggregate API 구성 요소 내 goqu.L 함수에서 SQL 인젝션 취약점이 발견되었습니다. 공격자가 column, group, order 인자를 조작하여 원격으로 데이터베이스를 공격할 수 있으며, 현재 공개된 익스플로잇이 존재합니다. 벤더사에 통보했으나 현재까지 응답이 없는 상태입니다.
💡 쉬운 설명
프로그램의 특정 입력창에 악의적인 명령어를 입력하여 데이터베이스를 마음대로 조작할 수 있는 보안 약점입니다. 해커가 멀리 떨어진 곳에서도 시스템의 중요한 정보를 훔치거나 파괴할 수 있어 위험합니다.
🇺🇸 원문 (English)
A vulnerability was identified in Daptin 0.10.3. Affected by this vulnerability is the function goqu.L of the file server/resource/resource_aggregate.go of the component Aggregate API. The manipulation of the argument column/group/order leads to sql injection. The attack may be initiated remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
⚔️ 공격 벡터
원격에서 API의 인자값(column/group/order)을 조작하여 수행하는 SQL 인젝션 공격
🛡️ 대응 방법
해당 취약점이 해결된 패치 버전을 적용하거나, 입력값에 대한 검증 로직을 추가하여 SQL 인젝션을 방어해야 합니다.
🔧 검증 코드
명령어 결과에서 Daptin의 버전이 0.10.3인지 확인하여 취약 여부를 판단합니다.
dpkg -l | grep Daptin 2>/dev/null || rpm -qa | grep Daptin 2>/dev/null || echo 'Check installed version manually'