🇰🇷 한글 설명
oma는 AOSC OS의 패키지 관리자입니다. 1.25.2 이전 버전의 oma-topics는 원격 저장소 서버에서 Topic Manifest(topics.json) 메타데이터를 가져와 APT 소스 항목으로 등록하는데, 이때 name 필드에 대한 검증이 이루어지지 않습니다. 이로 인해 악의적인 주체가 조작된 Topic Manifest를 제공하면 /etc/apt/sources.list.d/atm.list에 악성 APT 소스 항목이 추가될 수 있습니다.
💡 쉬운 설명
패키지 관리자가 외부 서버에서 받은 설정 정보를 검사하지 않아, 해커가 가짜 설정을 보내면 악성 패키지 저장소가 시스템에 등록될 수 있습니다. 이 저장소를 통해 악성 소프트웨어가 설치될 위험이 있습니다.
🇺🇸 원문 (English)
oma is a package manager for AOSC OS. Prior to 1.25.2, oma-topics is responsible for fetching metadata for testing repositories (topics) named "Topic Manifests" ({mirror}/debs/manifest/topics.json) from remote repository servers, registering them as APT source entries. However, the name field in said metadata were not checked for transliteration. In this case, a malicious party may supply a malformed Topic Manifest, which may cause malicious APT source entries to be added to /etc/apt/sources.list.d/atm.list as oma-topics finishes fetching and registering metadata. This vulnerability is fixed in 1.25.2.
📍 영향받는 시스템
AOSC OS에서 사용되는 oma 패키지 관리자 1.25.2 미만 버전 (oma-topics 포함)
⚔️ 공격 벡터
공격자가 중간자 공격 또는 침해된 미러 서버를 통해 조작된 topics.json을 제공하여 악성 APT 소스를 atm.list에 등록
🛡️ 대응 방법
oma를 1.25.2 이상으로 업데이트하고, 기존 /etc/apt/sources.list.d/atm.list 항목을 점검하여 의심스러운 소스를 제거
🔧 검증 코드
출력된 버전이 1.25.2 미만이면 취약하므로 업데이트가 필요하고, 1.25.2 이상이면 패치가 적용된 상태입니다.
oma --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'