🇰🇷 한글 설명
MyBooks(Talebook) 3.41.2 및 이전 버전에서 관리자 설정 처리 중 입력값 검증 미흡으로 인해 발생하는 원격 코드 실행 취약점입니다. 공격자가 조작된 SOCIAL_AUTH 키 이름을 제출하면 Python 소스 파일에 임의의 코드가 삽입되어 서비스 권한으로 명령이 실행될 수 있습니다.
💡 쉬운 설명
관리자 설정 메뉴에 특수하게 조작된 글자를 입력하면, 프로그램이 이를 명령어로 오해하여 해커가 원하는 동작을 수행하게 만드는 보안 결함입니다. 이를 통해 해커는 서버의 파일을 수정하거나 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
MyBooks is an enhanced and easy-to-use personal ebook management web server also known as Talebook. In 3.41.2 and earlier, the AdminSettings.post handler in webserver/handlers/admin.py accepts SOCIAL_AUTH key names without validating quotes or newline characters, and SettingsLoader.dumpfile in webserver/loader.py concatenates those names into the generated Python source file auto.py without escaping them. An administrator can submit a crafted SOCIAL_AUTH key name that closes the settings dictionary and injects arbitrary Python statements. The application later executes those statements because SettingsLoader.loadfile imports auto.py as a module, and setting autoreload to true invokes restart_async so a process supervisor restarts the service and triggers the import. Successful exploitation executes commands with the privileges of the application service account and can disclose data, modify files, establish persistence, or disrupt the service. Related authorization and registration vulnerabilities can reduce the effective privilege requirement in a chained attack, but the standalone vulnerability requires administrator access. This issue is fixed in version 3.42.0.
📍 영향받는 시스템
MyBooks (Talebook) 3.41.2 및 그 이전 버전
⚔️ 공격 벡터
관리자 권한을 이용한 조작된 SOCIAL_AUTH 키 이름 제출을 통한 Python 코드 주입
🛡️ 대응 방법
MyBooks를 취약점이 해결된 버전인 3.42.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.42.0 미만이면 취약한 상태이며, 3.42.0 이상이면 안전합니다.
python3 -c 'import pkg_resources; print(pkg_resources.get_distribution("mybooks").version)' 2>/dev/null || echo 'Package not found'