🇰🇷 한글 설명
Sipeed PicoClaw 0.2.9 이하 버전의 pkg/channels/pico/pico.go 파일 내 rt.ReloadConfig 함수에서 취약점이 발견되었습니다. message.send 인자를 조작하여 권한 검사를 우회할 수 있으며, 원격에서 공격이 가능합니다. 현재 해당 익스플로잇이 공개되어 있어 공격에 악용될 위험이 있습니다.
💡 쉬운 설명
Sipeed PicoClaw 기기의 설정 재로드 기능에 보안 구멍이 있어, 공격자가 허가 없이 설정을 바꿀 수 있습니다. 인터넷을 통해 멀리 떨어진 곳에서도 이 기능을 악용해 기기를 조작할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was detected in Sipeed PicoClaw up to 0.2.9. This vulnerability affects the function rt.ReloadConfig of the file pkg/channels/pico/pico.go. Performing a manipulation of the argument message.send results in missing authorization. It is possible to initiate the attack remotely. The exploit is now public and may be used. The reported GitHub issue was closed automatically due to inactivity.
📍 영향받는 시스템
Sipeed PicoClaw 0.2.9 이하 모든 버전
⚔️ 공격 벡터
원격에서 message.send 인자 조작을 통한 권한 우회 공격
🛡️ 대응 방법
해당 취약점이 해결된 최신 버전으로 업데이트하거나 관련 함수에 대한 입력값 검증 로직을 강화해야 합니다.
🔧 검증 코드
출력된 버전이 0.2.9 이하인지 확인하여 취약 여부를 판단합니다.
pip show pico-claw | grep Version