🇰🇷 한글 설명
CKAN 데이터 관리 시스템의 datastore_search_sql 기능에서 SQL injection 취약점이 발견되었습니다. 공격자는 이를 악용하여 비공개 리소스에 접근하고 PostgreSQL 시스템 정보를 탈취할 수 있습니다.
💡 쉬운 설명
CKAN이라는 데이터 저장소 프로그램에 보안 허점이 있어서 악의적인 사용자가 숨겨진 데이터에 접근할 수 있습니다. 검색 기능을 통해 악의적인 명령을 주입하는 방식으로 공격이 이루어집니다.
🇺🇸 원문 (English)
CKAN is an open-source DMS (data management system) for powering data hubs and data portals. Prior to 2.10.10 and 2.11.5, a vulnerability in datastore_search_sql allowed attackers to inject SQL in order to gain access to private resources and PostgreSQL system information This vulnerability is fixed in 2.10.10 and 2.11.5.
📍 영향받는 시스템
CKAN 2.10.10 이전, 2.11.5 이전 모든 버전
⚔️ 공격 벡터
datastore_search_sql API 엔드포인트에 SQL injection 페이로드를 전송하여 데이터베이스 접근
🛡️ 대응 방법
CKAN을 2.10.10 또는 2.11.5 이상 버전으로 즉시 업그레이드
🔧 검증 코드
CKAN 버전이 2.10.10 이상이거나 2.11.5 이상이면 안전하고, 그 이하 버전이면 취약함
pip show ckan | grep Version || dpkg -l | grep ckan