🇰🇷 한글 설명
QuantGeekDev docker-mcp 0.1.0 및 0.2.0 버전의 docker_executor.py 파일 내 _build_windows_command 함수에서 취약점이 발견되었습니다. project_name 인자 처리 과정에서 OS 명령어 주입이 발생하며, 원격에서 공격이 가능합니다.
💡 쉬운 설명
공격자가 프로젝트 이름 입력란에 악의적인 명령어를 넣어 서버에서 원하는 명령을 실행할 수 있습니다. 원격에서도 공격이 가능하므로 주의가 필요합니다.
🇺🇸 원문 (English)
A vulnerability was determined in QuantGeekDev docker-mcp 0.1.0/0.2.0. The impacted element is the function _build_windows_command of the file docker_executor.py. This manipulation of the argument project_name causes os command injection. It is possible to initiate the attack remotely.
📍 영향받는 시스템
QuantGeekDev docker-mcp 0.1.0, 0.2.0 (Windows 실행 환경)
⚔️ 공격 벡터
원격에서 project_name 인자에 조작된 값을 전달하여 OS 명령어를 주입
🛡️ 대응 방법
docker-mcp를 최신 버전으로 업데이트하거나 입력값 검증 및 이스케이프 처리를 적용
🔧 검증 코드
출력된 Version 값이 0.1.0 또는 0.2.0이면 취약하며, 패치된 이상 버전이면 안전합니다. 명령 결과가 없으면 해당 패키지가 설치되지 않은 것입니다.
pip show docker-mcp 2>/dev/null | grep -i version