🇰🇷 한글 설명
Netdata 2.10.4 미만 버전에서 ndsudo 도구가 사용자 제어가 가능한 --socket_path 인자를 허용하는 취약점이 발견되었습니다. 권한이 낮은 계정이 root 권한의 fail2ban-client를 악의적인 UNIX 소켓으로 유도할 수 있으며, 이를 통해 pickle 역직렬화 공격을 수행하여 root 권한으로 임의 코드를 실행할 수 있습니다.
💡 쉬운 설명
Netdata 프로그램의 설정 오류를 이용해 해커가 시스템의 가장 높은 관리자 권한을 탈취할 수 있는 보안 약점입니다. 해커가 가짜 통로를 만들어 관리자 도구가 잘못된 데이터를 읽게 함으로써 컴퓨터를 마음대로 조종할 수 있게 됩니다.
🇺🇸 원문 (English)
Netdata is an open source observability tool. Prior to 2.10.4, the setuid-root ndsudo helper command fail2ban-client-status-socket in src/collectors/utils/ndsudo.c accepts a caller-controlled --socket_path from the low-privileged netdata service account. The account can direct root fail2ban-client to a malicious UNIX socket, and fail2ban/client/csocket.py CSocket.receive() passes the returned data to pickle.loads(), allowing attacker-controlled code to execute as root on systems with fail2ban-client installed. This issue is fixed in version 2.10.4 and nightly build 2.10.0-782-nightly.
📍 영향받는 시스템
Netdata versions prior to 2.10.4 (and nightly build 2.10.0-782-nightly)
⚔️ 공격 벡터
Low-privileged Netdata service account directs root fail2ban-client to a malicious UNIX socket via --socket_path
🛡️ 대응 방법
Update Netdata to version 2.10.4 or later (or nightly build 2.10.0-782-nightly)
🔧 검증 코드
명령어 실행 결과에 2.10.4 이상의 버전 정보가 출력되면 취약점이 해결된 상태입니다.
netdata --version 2>/dev/null | grep -E '2.10.4|2.10.0-782-nightly'