🇰🇷 한글 설명
FreeCAD 1.1.2 미만 버전에서 발생하는 취약점으로, 조작된 FCStd 문서를 복구할 때 공격자가 제어하는 모듈 속성이 PyImport_ImportModule()로 직접 전달됩니다. 이로 인해 모듈 수준의 파이썬 코드가 실행되거나, 레거시 pickle 브랜치를 통해 공격자가 제어하는 모듈의 클래스 생성자가 호출될 수 있습니다.
💡 쉬운 설명
해커가 만든 특수한 FreeCAD 파일을 열기만 해도 컴퓨터에서 악성 코드가 자동으로 실행될 수 있는 위험한 보안 결함입니다. 이 문제는 파일 내부에 숨겨진 명령어가 프로그램의 취약점을 이용해 실행되기 때문에 발생합니다.
🇺🇸 원문 (English)
FreeCAD is a free and open-source multiplatform 3D parametric modeler. Prior to 1.1.2, src/App/PropertyPythonObject.cpp in PropertyPythonObject::Restore() passes the attacker-controlled module attribute from serialized PropertyPythonObject XML directly to PyImport_ImportModule() while restoring a crafted FCStd document, which executes module-level Python code, and the legacy pickle branch also imports an attacker-controlled module and invokes its class constructor through PyObject_CallObject(). This issue is fixed in version 1.1.2.
📍 영향받는 시스템
FreeCAD 1.1.2 미만 모든 버전
⚔️ 공격 벡터
악의적으로 조작된 FCStd 파일을 사용자가 열도록 유도하여 파이썬 코드 실행
🛡️ 대응 방법
FreeCAD를 최신 버전인 1.1.2 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.1.2보다 낮으면 취약한 상태이며, 1.1.2 이상이면 안전합니다.
freecad --version 2>/dev/null || echo 'FreeCAD not installed'