🇰🇷 한글 설명
OpenSTAManager 2.9.5 미만 버전에서 인증된 사용자가 API의 display 파라미터를 조작하여 임의의 SQL 쿼리를 실행할 수 있는 SQL 인젝션 취약점이 발견되었습니다. 이를 통해 공격자는 권한 수준에 관계없이 데이터베이스의 모든 데이터를 유출, 수정 또는 삭제하여 시스템 전체를 장악할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 프로그램의 명령어를 조작하여 데이터베이스에 몰래 명령을 내릴 수 있는 보안 결함입니다. 이로 인해 중요한 정보가 유출되거나 데이터가 모두 삭제될 위험이 있습니다.
🇺🇸 원문 (English)
OpenSTAManager is an open source management software for technical assistance and invoicing. Prior to version 2.9.5, an authenticated SQL Injection vulnerability in the API allows any user, regardless of permission level, to execute arbitrary SQL queries. By manipulating the display parameter in an API request, an attacker can exfiltrate, modify, or delete any data in the database, leading to a full system compromise. This issue has been patched in version 2.9.5.
📍 영향받는 시스템
OpenSTAManager 2.9.5 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 API 요청의 display 파라미터를 조작하여 SQL 인젝션 공격 수행
🛡️ 대응 방법
OpenSTAManager를 최신 보안 패치가 적용된 2.9.5 버전 이상으로 업데이트
🔧 검증 코드
명령어 결과에 2.9.5 이상의 버전 번호가 출력되면 안전하며, 그 미만이면 취약한 상태입니다.
curl -s http://<target_ip>/api/version | grep -E '2.9.5'