🇰🇷 한글 설명
Wheels CLI 4.1.0 이하 버전에서 로컬 개발 서버가 현재 프로젝트에 속한 것인지 확인하지 않는 취약점이 발견되었습니다. 공격자가 대상 포트에서 대기 중인 프로세스를 통해 프로젝트의 리로드 비밀번호와 코드를 탈취하거나, 다른 로컬 애플리케이션의 서버 및 데이터베이스에 의도치 않은 상태 변경 작업을 수행할 수 있습니다.
💡 쉬운 설명
개발 도구가 현재 작업 중인 프로젝트가 맞는지 확인하지 않아, 다른 프로그램이 개발자의 중요한 정보나 코드를 가로챌 수 있는 문제입니다. 내 컴퓨터에서 실행 중인 다른 악성 프로그램이 개발 도구를 속여 정보를 빼갈 수 있습니다.
🇺🇸 원문 (English)
Wheels CLI through 4.1.0 does not verify that the local development server answering its HTTP requests belongs to the current project. A process listening on a port targeted by the CLI can receive the project's reload password and code submitted through wheels reload or wheels console; console also probes common ports when the project server is down. Other commands can perform unintended state-changing operations against a different local application's server and database. Exploitation requires a process listening on a targeted local port and the developer running an affected command. This is fixed in 4.1.1, including changes to the CLI and application template.
📍 영향받는 시스템
Wheels CLI 4.1.0 및 그 이전 버전
⚔️ 공격 벡터
로컬 포트에서 대기 중인 프로세스가 개발자의 CLI 명령을 가로채어 정보를 탈취하거나 명령을 실행함
🛡️ 대응 방법
Wheels CLI를 4.1.1 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.1.1보다 낮으면 취약한 버전이 설치된 것입니다.
wheels --version 2>/dev/null | grep -E '^[0-4]\.'
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server