🇰🇷 한글 설명
Mooncake 0.3.13.post1 이하 버전의 Store REST 서비스에서 인증 누락 취약점이 발견되었습니다. 공격자는 인증 없이 모든 경로에 접근하여 캐시된 KV 데이터를 읽거나, 객체를 삽입 및 삭제하고, 공격자가 정의한 세그먼트를 마운트할 수 있습니다.
💡 쉬운 설명
Mooncake라는 프로그램의 저장 서비스에 자물쇠가 없는 상태로 문이 열려 있는 것과 같습니다. 해커가 아무런 로그인 없이도 중요한 데이터를 훔치거나 마음대로 지우고 새로운 데이터를 넣을 수 있습니다.
🇺🇸 원문 (English)
Mooncake through 0.3.13.post1 contains a missing authentication vulnerability in the Store REST service, which binds to 0.0.0.0 without authentication on any route. Unauthenticated attackers can call routes such as /api/get, /api/put, /api/remove_all and /api/mount to read cached KV data with user prompts, inject or delete objects, and mount attacker-described segments.
📍 영향받는 시스템
Mooncake 0.3.13.post1 및 그 이전 버전
⚔️ 공격 벡터
인증이 필요 없는 REST API 경로(/api/get, /api/put 등)를 통한 원격 공격
🛡️ 대응 방법
Mooncake를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.3.13.post1 이하인지 확인하여 취약 여부를 판단합니다.
pip show mooncake | grep -E 'Version'