🇰🇷 한글 설명
OpenC3 COSMOS의 Script Runner 위젯이 권한 검증 없이 Python/Ruby 스크립트를 실행하도록 허용하여, 스크립트 작성 권한이 있는 모든 사용자가 Docker 네트워크상의 Redis 데이터베이스에 접근하고 비밀번호를 읽거나 시스템 설정을 변경할 수 있습니다. 버킷 서비스의 구성, 로그, 플러그인 파일도 임의로 수정 가능하며, 이는 관리자만 수행할 수 있어야 합니다. 7.0.0-rc3 버전에서 패치되었습니다.
💡 쉬운 설명
OpenC3 COSMOS에서 스크립트를 실행할 수 있는 사용자가 숨겨진 방법을 사용하여 데이터베이스와 설정 파일에 무단으로 접근할 수 있습니다. 이로 인해 암호를 읽거나 시스템 설정을 마음대로 변경할 수 있습니다.
🇺🇸 원문 (English)
OpenC3 COSMOS provides the functionality needed to send commands to and receive data from one or more embedded systems. Prior to version 7.0.0-rc3, the Script Runner widget allows users to execute Python and Ruby scripts directly from the openc3-COSMOS-script-runner-api container. Because all the docker containers share a network, users can execute specially crafted scripts to bypass the API permissions check and perform administrative actions, including reading and modifying data inside the Redis database, which can be used to read secrets and change COSMOS settings, as well as read and write to the buckets service, which holds configuration, log, and plugin files. These actions are normally only available from the Admin Console or with administrative privileges. Any user with permission to create and run scripts can connect to any service in the docker network. This issue has been patched in version 7.0.0-rc3.
📍 영향받는 시스템
OpenC3 COSMOS 7.0.0-rc3 이전 모든 버전
⚔️ 공격 벡터
Script Runner 권한으로 악의적인 스크립트를 작성하여 Docker 네트워크를 통해 Redis 및 버킷 서비스에 직접 접근
🛡️ 대응 방법
OpenC3 COSMOS를 버전 7.0.0-rc3 이상으로 업그레이드
🔧 검증 코드
Docker에서 실행 중인 OpenC3 COSMOS 컨테이너의 이미지 정보를 확인하여 버전 확인 필요
docker ps --filter 'name=openc3-cosmos' --format '{{.Image}}' | grep -E 'openc3.*cosmos' && echo 'Running' || echo 'Not found'