🇰🇷 한글 설명
Apache Kvrocks에서 프로토콜 간 스크립팅(Cross-Protocol Scripting) 취약점이 발견되었습니다. RESP 요청 내에 'Host:' 또는 'POST' 문자열이 포함되어 있는지 검사하지 않아, 유효한 HTTP 요청이 RESP 요청으로 오인되어 데이터베이스 작업을 트리거할 수 있으며 SSRF와 결합될 경우 위험합니다.
💡 쉬운 설명
데이터베이스가 HTTP라는 다른 언어로 된 명령어를 잘못 알아듣고 실행해버리는 문제입니다. 공격자가 이를 이용해 데이터베이스를 조작하거나 다른 시스템을 공격하는 데 악용할 수 있습니다.
🇺🇸 원문 (English)
A Cross-Protocol Scripting vulnerability is found in Apache Kvrocks.
Since Kvrocks didn't detect if "Host:" or "POST" appears in RESP requests,
a valid HTTP request can also be sent to Kvrocks as a valid RESP request
and trigger some database operations, which can be dangerous when
it is chained with SSRF.
It is similiar to CVE-2016-10517 in Redis.
This issue affects Apache Kvrocks: from the initial version to the latest version 2.11.0.
Users are recommended to upgrade to version 2.11.1, which fixes the issue.
📍 영향받는 시스템
Apache Kvrocks: 초기 버전부터 2.11.0 버전까지
⚔️ 공격 벡터
HTTP 요청 형식을 포함한 RESP 요청을 전송하여 데이터베이스 명령을 실행 (SSRF와 연계 가능)
🛡️ 대응 방법
Apache Kvrocks를 취약점이 해결된 2.11.1 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 2.11.0 이하이면 취약한 버전이므로 업데이트가 필요합니다.
kvrocks --version 2>/dev/null | grep -E '2\.[0-9]{1,2}\.[0-9]'