🇰🇷 한글 설명
RT(Request Tracker) 이슈 및 티켓 추적 시스템의 특정 버전에서 SQL 인젝션 취약점이 발견되었습니다. 인증된 사용자가 적절한 검증 없이 데이터베이스 쿼리에 입력값을 삽입하여 데이터를 읽거나 수정할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 특수한 명령어를 입력하여 시스템의 데이터베이스를 마음대로 조작할 수 있는 보안 약점입니다. 이를 통해 중요한 정보를 훔쳐보거나 내용을 바꿀 위험이 있습니다.
🇺🇸 원문 (English)
RT is an open source, enterprise-grade issue and ticket tracking system. Versions 5.0.0 through 5.0.9 and 6.0.0 through 6.0.2 contain an SQL injection vulnerability. An authenticated user can craft input that is incorporated into database queries without proper validation, potentially allowing them to read or modify data in the RT database. This issue has been fixed in versions 5.0.10 and 6.0.3. If developers are unable to upgrade immediately, they can temporarily work around this issue by restricting RT account access to trusted users.
📍 영향받는 시스템
RT versions 5.0.0-5.0.9 and 6.0.0-6.0.2
⚔️ 공격 벡터
인증된 사용자가 검증되지 않은 입력값을 통해 데이터베이스 쿼리를 조작하는 방식
🛡️ 대응 방법
RT를 5.0.10 또는 6.0.3 이상의 버전으로 업그레이드하거나, 즉시 업그레이드가 불가능할 경우 신뢰할 수 있는 사용자에게만 계정 접근을 제한하십시오.
🔧 검증 코드
설치된 패키지 목록에서 RT 버전이 취약한 범위(5.0.0-5.0.9 또는 6.0.0-6.0.2)에 해당하는지 확인합니다.
rpm -qa | grep -E 'RT|request-tracker' || dpkg -l | grep -E 'RT|request-tracker'