🇰🇷 한글 설명
Codemers KLIMS 1.6.DEV에서 정렬, 필터링 등의 매개변수나 한정자를 통해 사용자가 Python 코드를 입력할 수 있으며, 이 코드가 서버 측에서 직접 실행되는 Python 코드 인젝션 취약점입니다. 공격자는 이를 악용하여 임의의 Python 코드를 실행하고 서버를 완전히 제어할 수 있습니다.
💡 쉬운 설명
KLIMS 소프트웨어가 사용자 입력을 검증 없이 그대로 실행하는 문제로, 공격자가 악의적인 프로그래밍 명령을 삽입할 수 있습니다. 이를 통해 서버 전체가 해킹되고 데이터가 탈취되거나 파괴될 수 있습니다.
🇺🇸 원문 (English)
Codemers KLIMS 1.6.DEV allows Python code injection. A user can provide Python code as an input value for a parameter or qualifier (such as for sorting), which will get executed on the server side.
📍 영향받는 시스템
Codemers KLIMS 1.6.DEV 이하 버전
⚔️ 공격 벡터
정렬(sort), 필터링, 쿼리 매개변수 등의 입력 필드에 Python 코드를 주입하여 서버 측 코드 실행
🛡️ 대응 방법
KLIMS를 최신 보안 패치 버전으로 즉시 업그레이드하고, 모든 사용자 입력에 대한 엄격한 입력 검증 및 샌드박싱 구현
🔧 검증 코드
출력에서 1.6.DEV 버전이 표시되면 취약 상태이며, 더 높은 버전 번호(1.7 이상)가 나오면 패치가 적용된 상태입니다.
pip show codemers-klims 2>/dev/null | grep Version || dpkg -l 2>/dev/null | grep klims