🇰🇷 한글 설명
pygeoapi 버전 0.23.0~0.23.2에서 OGC API process 실행 요청의 subscriber 객체를 악용하여 내부 HTTP 서비스에 접근할 수 있는 취약점입니다. 공격자는 이를 통해 내부 시스템으로부터 민감한 정보를 유출하거나 내부 서비스를 악용할 수 있습니다. 0.23.3에서 패치되었습니다.
💡 쉬운 설명
지도 데이터 서비스인 pygeoapi의 특정 버전에서 공격자가 특수한 요청을 보내면 서버 내부의 숨겨진 서비스에 접근할 수 있습니다. 이로 인해 내부 정보 탈취나 시스템 손상이 가능합니다.
🇺🇸 원문 (English)
pygeoapi is a Python server implementation of the OGC API suite of standards. From version 0.23.0 to before version 0.23.3, OGC API process execution requests can use the subscriber object to requests to internal HTTP services. This issue has been patched in version 0.23.3.
📍 영향받는 시스템
pygeoapi 0.23.0 ~ 0.23.2
⚔️ 공격 벡터
OGC API process 실행 요청의 subscriber 파라미터를 조작하여 내부 HTTP 서비스에 대한 요청 수행
🛡️ 대응 방법
pygeoapi를 0.23.3 이상으로 업그레이드
🔧 검증 코드
표시된 버전이 0.23.3 이상이면 안전하며, 0.23.2 이하면 즉시 업그레이드 필요합니다.
pip show pygeoapi | grep Version || python -c "import pygeoapi; print(pygeoapi.__version__)"