🇰🇷 한글 설명
오픈 소스 서버 관리 소프트웨어인 Liman의 로그 로테이션 설정 엔드포인트에서 OS 명령 주입 취약점이 발견되었습니다. 인증된 관리자가 ip_address 파라미터에 싱글 쿼트를 삽입하여 적절한 검증 없이 셸 명령어를 실행할 수 있습니다. 이 문제는 2.2.2 - 1103 버전 미만에서 발생합니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 서버 설정 값을 조작하여 서버에 몰래 명령을 내릴 수 있는 보안 약점입니다. 공격자가 서버의 제어권을 완전히 탈취할 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
Liman is open source server management software. Prior to 2.2.2 - 1103, an OS command injection vulnerability in the log rotation configuration endpoint allows an authenticated administrator to execute arbitrary operating system commands on the Liman server. The `ip_address` parameter is embedded directly into a shell command without sanitization, enabling shell escape via single-quote injection. This is fixed in 2.2.2 - 1103.
📍 영향받는 시스템
Liman open source server management software (versions prior to 2.2.2 - 1103)
⚔️ 공격 벡터
인증된 관리자가 로그 로테이션 설정의 ip_address 파라미터에 셸 이스케이프 문자를 삽입하여 공격
🛡️ 대응 방법
Liman 소프트웨어를 최신 보안 패치가 적용된 2.2.2 - 1103 버전 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과로 2.2.2 - 1103 이상의 버전 정보가 출력되면 취약점이 해결된 상태입니다.
curl -s http://<target_ip>/version | grep -E '2.2.2 - 1103'