🇰🇷 한글 설명
LocalStack serverless-localstack 1.4.0 버전 이하에서 Configuration Handler의 알 수 없는 함수를 통해 OS 명령 주입 취약점이 발견되었습니다. custom.localstack.docker.compose_file 인자를 조작하여 공격자가 임의의 명령을 실행할 수 있으며, 공격은 로컬 환경에서 수행되어야 합니다.
💡 쉬운 설명
설정 파일의 특정 항목을 악의적으로 수정하면 컴퓨터에 몰래 명령을 내릴 수 있는 보안 약점입니다. 공격자가 사용자의 컴퓨터에서 허락 없이 프로그램을 실행할 위험이 있습니다.
🇺🇸 원문 (English)
A vulnerability was identified in localstack serverless-localstack up to 1.4.0. The affected element is an unknown function of the file src/index.js of the component Configuration Handler. The manipulation of the argument custom.localstack.docker.compose_file leads to os command injection. An attack has to be approached locally. The exploit is publicly available and might be used. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
LocalStack serverless-localstack version up to 1.4.0
⚔️ 공격 벡터
로컬 환경에서 custom.localstack.docker.compose_file 인자 조작을 통한 OS Command Injection
🛡️ 대응 방법
LocalStack을 최신 버전으로 업데이트하거나 해당 설정 인자의 입력을 검증하십시오.
🔧 검증 코드
출력된 버전이 1.4.0 이하인지 확인하여 취약 여부를 판단합니다.
pip show serverless-localstack 2>/dev/null | grep Version