🇰🇷 한글 설명
Perl용 Etsy::StatsD 1.002002 이하 버전에서 메트릭 주입 취약점이 발견되었습니다. 메트릭 이름과 값에 대해 줄바꿈, 콜론, 파이프 문자를 검증하지 않아 신뢰할 수 없는 소스에서 생성된 메트릭이 추가적인 StatsD 메트릭을 주입할 수 있습니다.
💡 쉬운 설명
데이터를 기록하는 과정에서 특수 문자를 걸러내지 못해, 공격자가 가짜 데이터를 끼워 넣을 수 있는 문제입니다. 이를 통해 시스템의 통계 수치를 조작하거나 잘못된 정보를 전달할 수 있습니다.
🇺🇸 원문 (English)
Etsy::StatsD versions through 1.002002 for Perl allow metric injections.
The metric names and values are not checked for newlines, colons or pipes. Metrics generated from untrusted sources could inject additional statsd metrics.
Note that the git repository contains an unreleased version with the gauge and set methods that also do not check for potential metric injections.
📍 영향받는 시스템
Etsy::StatsD versions through 1.002002 (Perl)
⚔️ 공격 벡터
신뢰할 수 없는 소스로부터 입력된 메트릭 데이터에 줄바꿈(
), 콜론(:), 파이프(|) 문자를 포함시켜 전송
🛡️ 대응 방법
Etsy::StatsD를 최신 버전으로 업데이트하거나, 입력 데이터에서 특수 문자(
, :, |)를 필터링하는 로직을 추가
🔧 검증 코드
출력된 버전 번호가 1.002002 이하인지 확인하여 취약 여부를 판단합니다.
perl -M'Module::Name' -e 'print $Etsy::StatsD::VERSION' 2>/dev/null || echo 'Not installed'