🇰🇷 한글 설명
Orkes Conductor 3.21.21 미만 버전에서 인증 없이 원격 코드 실행이 가능한 취약점이 발견되었습니다. 공격자는 워크플로 API 엔드포인트에 악성 JavaScript 또는 Python 표현식이 포함된 인라인 워크플로 정의를 제출하여 임의의 OS 명령을 실행할 수 있습니다. 이는 GraalVM 평가기가 보안 설정 없이 구성되어 Java 리플렉션이나 서브프로세스 호출을 통해 시스템 명령을 호출할 수 있기 때문입니다.
💡 쉬운 설명
해커가 로그인하지 않고도 시스템에 명령을 내려 컴퓨터를 마음대로 조종할 수 있는 매우 위험한 보안 구멍입니다. 악성 코드가 담긴 작업 지시서를 보내면 서버가 이를 그대로 실행해 버리는 문제입니다.
🇺🇸 원문 (English)
Orkes Conductor 3.21.21 before 3.30.2 contains an unauthenticated remote code execution vulnerability that allows remote attackers to execute arbitrary OS commands by submitting inline workflow definitions containing malicious JavaScript or Python expressions to the workflow API endpoint prior to authentication. Attackers can exploit unsandboxed GraalVM evaluators configured with HostAccess.ALL or allowAllAccess(true) through INLINE, LAMBDA, DO_WHILE, and SWITCH task types to invoke arbitrary system commands via Java reflection or direct subprocess calls.
📍 영향받는 시스템
Orkes Conductor 3.21.21 미만 버전 (3.30.2 미만)
⚔️ 공격 벡터
인증되지 않은 상태에서 워크플로 API 엔드포인트로 악성 스크립트가 포함된 워크플로 정의를 전송
🛡️ 대응 방법
Orkes Conductor를 최신 보안 패치가 적용된 버전인 3.30.2 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 3.30.2 미만(예: 3.21.x)이면 취약한 상태이며, 3.30.2 이상이면 안전합니다.
curl -s http://<target-ip>:<port>/conductor/api/version | grep -E '3\.(2[0-9]|30)'