🇰🇷 한글 설명
FreeCAD 1.1.2 미만 버전의 FEM 변위 제약 조건 작업 대화 상자에서 발생하는 취약점입니다. 입력값 검증 과정에서 백슬래시(\) 문자가 제대로 처리되지 않아, 조작된 수식을 통해 임의의 파이썬 코드를 실행할 수 있습니다.
💡 쉬운 설명
FreeCAD에서 특정 수식을 입력할 때 특수 문자를 이용해 악성 명령어를 숨겨 넣을 수 있는 문제입니다. 사용자가 대화 상자의 확인 버튼을 누르는 순간, 해커가 의도한 프로그램이 사용자 권한으로 실행될 수 있습니다.
🇺🇸 원문 (English)
FreeCAD is a free and open-source multiplatform 3D parametric modeler. Prior to 1.1.2, the FEM Displacement Constraint task dialog in src/Mod/Fem/Gui/TaskFemConstraintDisplacement.cpp passes the xDisplacementFormula, yDisplacementFormula, and zDisplacementFormula fields of a Fem::ConstraintDisplacement object through TaskDlgFemConstraintDisplacement::accept() into Gui::Command::doCommand. The escaping helper neutralizes quotation marks but not backslashes, allowing crafted formula text to terminate the generated Python string and execute arbitrary Python code with the FreeCAD process's privileges when a victim accepts the dialog. This issue is fixed in version 1.1.2.
📍 영향받는 시스템
FreeCAD 1.1.2 미만 모든 버전
⚔️ 공격 벡터
조작된 수식(Formula) 텍스트를 입력하여 파이썬 문자열을 종료시킨 후 악성 코드를 삽입하는 방식
🛡️ 대응 방법
FreeCAD를 최신 버전인 1.1.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.1.2보다 낮은지 확인하십시오.
freecad --version 2>/dev/null || echo 'FreeCAD not found'