🇰🇷 한글 설명
Mercury 프레임워크 3.2.6 미만 버전에서 토큰 없이 배포할 경우, 익명의 사용자가 Jupyter 커널을 생성하고 임의의 Python 코드를 실행할 수 있는 취약점이 존재합니다. 엔드포인트 차단 목록에 /api/kernels가 포함되지 않았으며, 웹소켓 래퍼가 실행 가능한 메시지에 대한 권한 확인 없이 유휴 활동을 추적하여 발생합니다.
💡 쉬운 설명
인증 절차 없이 누구나 웹사이트를 통해 서버에 악성 코드를 심고 실행할 수 있는 매우 위험한 보안 구멍이 발견되었습니다. 공격자가 이 취약점을 이용하면 서버의 제어권을 완전히 탈취할 수 있습니다.
🇺🇸 원문 (English)
Mercury is a Python framework for sharing Jupyter notebooks as web applications and dashboards. Prior to 3.2.6, default tokenless deployments allow anonymous clients to create Jupyter kernels and send execute_request messages containing arbitrary Python. The endpoint blocklist does not cover /api/kernels, and the websocket wrapper previously tracked idle activity without authorizing executable messages. This issue is fixed in version 3.2.6.
📍 영향받는 시스템
Mercury Python framework version < 3.2.6
⚔️ 공격 벡터
인증되지 않은 사용자가 /api/kernels 엔드포인트를 통해 웹소켓으로 임의의 Python 코드를 전송하여 실행
🛡️ 대응 방법
Mercury 프레임워크를 최신 버전인 3.2.6 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.2.6보다 낮으면 취약한 상태이며, 3.2.6 이상이면 안전합니다.
pip show mercury | grep Version