🇰🇷 한글 설명
Travisun Opptrix 0.4.0의 Schedule API 구성요소인 /api/auth/setup 파일의 알 수 없는 함수에서 결함이 발견되었습니다. 이 조작으로 명령어 주입이 발생하며, 원격에서 공격을 개시할 수 있습니다. 공개된 익스플로잇이 존재하며 프로젝트는 개발이 중단되고 폐기(deprecated)되었습니다. 이 취약점은 유지보수가 중단된 제품에만 영향을 미칩니다.
💡 쉬운 설명
이 프로그램의 설정 기능에 공격자가 시스템 명령어를 몰래 끼워 넣을 수 있는 문제가 있습니다. 프로그램 개발이 중단되어 공식 수정 패치가 제공되지 않으므로 사용을 중단하거나 격리해야 합니다.
🇺🇸 원문 (English)
A flaw has been found in Travisun Opptrix 0.4.0. This affects an unknown function of the file /api/auth/setup of the component Schedule API. This manipulation causes command injection. It is possible to initiate the attack remotely. The exploit has been published and may be used. The project has been completely taken offline and deprecated. The project maintainer explains: "The mentioned security risk was a design flaw that manifested primarily in local environments during earlier stages of version development. We previously addressed and resolved this specific risk; however, because the project was restricted to a small learning scope and the main versions were intended to run exclusively on localhost, the security fix was only pushed directly to our GitHub repository before it went private." This vulnerability only affects products that are no longer supported by the maintainer.
📍 영향받는 시스템
Travisun Opptrix 0.4.0 및 그 이하 버전 (유지보수 중단된 제품)
⚔️ 공격 벡터
네트워크를 통해 /api/auth/setup 엔드포인트에 조작된 요청을 보내 임의의 명령어를 실행
🛡️ 대응 방법
해당 소프트웨어 사용을 중단하고 제거하거나, 외부 접근이 차단된 격리 환경에서만 운영
🔧 검증 코드
출력된 경로가 존재하면 Opptrix 0.4.0이 설치된 것이므로 즉시 제거 또는 격리가 필요하고, 출력이 없으면 해당 버전이 설치되어 있지 않습니다.
find / -path '*opptrix*' -name 'package.json' 2>/dev/null | xargs grep -l '0.4.0' 2>/dev/null