🇰🇷 한글 설명
Bokeh 라이브러리에서 발생하는 보안 취약점으로, 공격자가 허용된 도메인으로 등록된 서버에 WebSocket 연결을 초기화할 수 있는 취약점입니다. 이로 인해 공격자는 피해자의 대신에 Bokeh 서버와 상호작용하여 민감한 데이터에 접근하거나 시각화를 수정할 수 있습니다.
💡 쉬운 설명
Bokeh 라이브러리는 파이썬으로 작성된 인터랙티브 시각화 라이브러리입니다. 이 라이브러리의 구버전에서는 공격자가 허용된 도메인으로 등록된 서버에 WebSocket 연결을 초기화할 수 있는 취약점이 있습니다. 이로 인해 공격자는 민감한 데이터에 접근하거나 시각화를 수정할 수 있습니다.
🇺🇸 원문 (English)
Bokeh is an interactive visualization library written in Python. In versions 3.8.1 and below, if a server is configured with an allowlist (e.g., dashboard.corp), an attacker can register a domain like dashboard.corp.attacker.com (or use a subdomain if applicable) and lure a victim to visit it. The malicious site can then initiate a WebSocket connection to the vulnerable Bokeh server. Since the Origin header (e.g., http://dashboard.corp.attacker.com/) matches the allowlist according to the flawed logic, the connection is accepted. Once connected, the attacker can interact with the Bokeh server on behalf of the victim, potentially accessing sensitive data, or modifying visualizations. This issue is fixed in version 3.8.2.
📍 영향받는 시스템
Bokeh 라이브러리 버전 3.8.1 이하
⚔️ 공격 벡터
공격자는 허용된 도메인으로 등록된 서버에 WebSocket 연결을 초기화하여 민감한 데이터에 접근하거나 시각화를 수정할 수 있습니다.
🛡️ 대응 방법
Bokeh 라이브러리 버전을 3.8.2 이상으로 업데이트하세요.
🔧 검증 코드
로컬 시스템에서 Python을 실행하여 Bokeh 라이브러리 버전을 확인합니다. 코드를 실행하기 전에 Python과 pkg_resources 라이브러리가 설치되어 있어야 합니다.
import pkg_resources
bokeh_version = pkg_resources.get_distribution('bokeh').version
if bokeh_version <= '3.8.1':
print({"result": "취약", "reason": "Bokeh 버전이 3.8.1 이하입니다."})
else:
print({"result": "양호", "reason": "Bokeh 버전이 3.8.2 이상입니다."})