🇰🇷 한글 설명
Microsoft Excel이 CSV 파일을 가져올 때 특정 문자로 시작하는 셀을 수식으로 실행하여 임의의 코드 실행이 가능해집니다. Velociraptor는 GUI, 오프라인 수집기, 데이터 내보내기 등에서 CSV로 출력할 때 이러한 셀을 적절히 무해화하지 않습니다. 취약점이 Excel에 있는지 Velociraptor에 있는지는 명확하지 않지만, 흔한 사용 사례이므로 공지로 다룹니다.
💡 쉬운 설명
엑셀로 CSV 파일을 열 때 특정 칸에 적힌 내용이 명령어처럼 실행될 수 있습니다. Velociraptor가 이런 내용을 안전하게 처리하지 않아 위험할 수 있습니다.
🇺🇸 원문 (English)
When Microsoft Excel imports a CSV file, it executes cells beginning with certain characters as formulas, giving such CSV files arbitrary execution.
Velociraptor fails to sanitize such cells when exporting to CSV from various places such as the GUI, offline collector or data exports.
It is not clear if the vulnerability is actually in Microsoft Excel treating a CSV data file as executable content, or if Velociraptor should be sanitizing the data to prevent Excel from executing it. However, since this is such a common use case for Velociraptor we decided to highlight it in an advisory.
📍 영향받는 시스템
Velociraptor의 CSV 내보내기 기능(GUI, 오프라인 수집기, 데이터 내보내기)을 사용하는 환경 (정확한 영향 버전은 공지 원문 확인 필요)
⚔️ 공격 벡터
공격자가 수집 대상 시스템에 악성 수식(예: =HYPERLINK, =cmd 등)이 포함된 값을 심어두면, 분석가가 내보낸 CSV를 Excel로 열 때 악성 코드가 실행됨
🛡️ 대응 방법
Velociraptor를 최신 패치 버전으로 업데이트하고, CSV 파일을 Excel에서 열 때 외부 콘텐츠/수식 실행을 제한하며, 신뢰할 수 없는 CSV는 텍스트 편집기로 먼저 확인
🔧 검증 코드
출력된 버전이 공지에서 수정된 패치 버전 이상이면 해당 수정이 적용된 것이며, 이하이거나 명령을 찾을 수 없으면 취약 가능성이 있으므로 업데이트 필요
velociraptor version 2>/dev/null | head -n 1