🇰🇷 한글 설명
matrix-appservice-irc 3.0.3 버전 이하에서 Puppet된 사용자의 권한으로 임의의 IRC 명령어를 실행할 수 있는 취약점이 발견되었습니다. 공격자는 자신의 IRC 사용자 권한 내에서만 명령어를 주입할 수 있습니다. 이 문제는 matrix-appservice-irc 3.0.4 버전에서 패치되었습니다.
💡 쉬운 설명
Matrix와 IRC를 연결해주는 프로그램에서 사용자가 의도하지 않은 명령어를 몰래 보낼 수 있는 문제가 있습니다. 다만, 공격자는 자신이 사용하는 계정의 권한 범위 내에서만 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
matrix-appservice-irc is a Node.js IRC bridge for Matrix. The matrix-appservice-irc bridge up to version 3.0.3 contains a vulnerability which can lead to arbitrary IRC command execution as the puppeted user. The attacker can only inject commands executed as their own IRC user. The vulnerability has been patched in matrix-appservice-irc version 3.0.4.
📍 영향받는 시스템
matrix-appservice-irc version 3.0.3 and below
⚔️ 공격 벡터
IRC 메시지를 통한 임의의 IRC 명령어 주입
🛡️ 대응 방법
matrix-appservice-irc를 3.0.4 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전이 3.0.4 미만인 경우 취약한 버전이 설치된 것입니다.
npm list matrix-appservice-irc 2>/dev/null | grep matrix-appservice-irc