🇰🇷 한글 설명
OneUptime이 보안 격리 목적으로 사용한 Node.js의 vm 모듈에서 에러 객체와 무한 재귀를 통해 우회될 수 있는 치명적 취약점이 존재합니다. 10.0.98 이전 버전에서 공격자는 격리된 실행 환경을 탈출하여 임의 코드를 실행할 수 있습니다.
💡 쉬운 설명
OneUptime의 보안 벽으로 사용된 vm 모듈에 구멍이 있어서 공격자가 제약을 우회하고 서버를 완전히 장악할 수 있습니다. 매우 위험한 수준의 취약점입니다.
🇺🇸 원문 (English)
OneUptime is an open-source monitoring and observability platform. Prior to 10.0.98, OneUptime uses the Node.js' vm module as an isolation primitive. This API was not designed for that and can be escaped via error objects and infinite recursion. This vulnerability is fixed in 10.0.98.
📍 영향받는 시스템
OneUptime < 10.0.98 (모든 설치 형태)
⚔️ 공격 벡터
에러 객체와 무한 재귀를 이용한 vm module escape로 격리 환경 탈출
🛡️ 대응 방법
OneUptime을 10.0.98 이상으로 즉시 업그레이드
🔧 검증 코드
10.0.98 미만의 버전이 표시되면 취약함. 10.0.98 이상이거나 설치되지 않았으면 안전.
npm list oneuptime-server 2>/dev/null | head -3 || grep '"version"' /opt/oneuptime/package.json 2>/dev/null | head -1