🇰🇷 한글 설명
R2R 3.6.6 이하 버전에서 벡터 인덱스 생성 엔드포인트의 인덱스 이름 파라미터를 조작하여 발생하는 스택형 SQL 인젝션 취약점입니다. 공격자는 식별자 인용이나 검증이 없는 취약점을 이용해 PostgreSQL 슈퍼유저 권한으로 임의의 DDL 및 DML 문을 실행할 수 있습니다.
💡 쉬운 설명
인덱스 이름을 만드는 과정에서 보안 검사가 부족하여, 해커가 악의적인 명령어를 섞어 넣을 수 있는 문제입니다. 이를 통해 해커가 데이터베이스의 모든 정보를 조작하거나 삭제할 수 있는 매우 위험한 상태입니다.
🇺🇸 원문 (English)
R2R through 3.6.6 contains a stacked SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL statements by manipulating the index name parameter in the vector index creation endpoint. The index name is interpolated directly into a CREATE INDEX statement via string formatting without identifier quoting or allowlist validation, enabling arbitrary DDL and DML execution through semicolon-separated statements under the PostgreSQL superuser account.
📍 영향받는 시스템
R2R 3.6.6 이하 모든 버전
⚔️ 공격 벡터
벡터 인덱스 생성 시 인덱스 이름 파라미터에 세미콜론(;)을 포함한 악의적인 SQL 구문 삽입
🛡️ 대응 방법
R2R을 최신 보안 패치가 적용된 버전으로 업데이트하거나, 입력값에 대한 식별자 인용 및 화이트리스트 검증 로직을 적용해야 합니다.
🔧 검증 코드
출력된 버전이 3.6.6 이하인 경우 해당 취약점에 노출된 상태입니다.
pip show r2r | grep Version