🇰🇷 한글 설명
Wekan의 9.75 미만 버전에서 파일 업로드 시 파일 이름에 포함된 쉘 메타문자가 외부 명령 실행 과정에서 그대로 해석되는 취약점이 존재합니다. 인증된 사용자가 악의적인 파일 이름을 사용하여 Wekan 서버 프로세스 권한으로 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
파일을 올릴 때 파일 이름에 특수 문자를 섞어 넣으면, 서버가 이 파일을 검사하는 과정에서 해커가 원하는 명령어를 대신 실행하게 되는 보안 결함입니다. 이를 통해 해커가 서버를 마음대로 조종할 위험이 있습니다.
🇺🇸 원문 (English)
Wekan is open source kanban built with Meteor. Prior to 9.75, models/fileValidation.js interpolated the uploaded fileObj.path into the administrator-configured externalCommandLine at its {file} placeholder and executed the result through asyncExec, which is promisify(exec) and invokes `/bin/sh -c`. On deployments with an external scanner configured, an authenticated user able to upload an attachment could place shell metacharacters such as command substitutions in the filename and execute commands as the Wekan server process. Version 9.75 adds shellQuote() and passes the file path as a POSIX single-quoted argument so shell metacharacters cannot escape the placeholder. This issue is fixed in version 9.75.
📍 영향받는 시스템
Wekan versions prior to 9.75
⚔️ 공격 벡터
인증된 사용자가 파일 이름에 쉘 메타문자(command substitution 등)를 포함한 파일을 업로드하여 명령 실행
🛡️ 대응 방법
Wekan을 최신 보안 패치가 적용된 버전 9.75 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 9.75 미만이면 취약한 상태이며, 9.75 이상이면 안전합니다.
curl -s http://<WEKAN_URL>/package.json | grep -E '"version": "[0-9]+\.[0-9]+\.[0-9]+"'