🇰🇷 한글 설명
Amazon Web Services CodeCatalyst-blueprints 0.3.156 미만 버전의 blueprint resynthesis 프레임워크에서 OS 명령 중립화 미흡(CWE-78) 취약점이 발견되었습니다. 프로젝트 저장소에 커밋 권한이 있는 사용자가 조작된 .ownership-file의 owner 필드에 셸 메타문자를 삽입하여 resynthesis 환경에서 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
프로젝트 설정 파일에 특수 문자를 몰래 넣어두면, 시스템이 이를 명령어로 착각하여 해커가 원하는 동작을 수행하게 만들 수 있는 보안 약점입니다. 권한이 있는 사용자가 악의적인 파일을 올릴 경우 시스템 제어권을 탈취당할 위험이 있습니다.
🇺🇸 원문 (English)
Improper neutralization of special elements used in an OS command (CWE-78) in the blueprint resynthesis framework in Amazon Web Services codecatalyst-blueprints before 0.3.156 might allow a user with permission to commit to a repository in the project to execute arbitrary commands in the blueprint resynthesis environment via shell metacharacters in the owner field of a [local] merge strategy entry in a crafted .ownership-file.
Version 0.3.156 removes shell interpretation of the owner field, running the command directly rather than through a shell, and rejects values outside an allowlisted command form. This eliminates shell metacharacter command injection. To remediate this issue, users should upgrade to version 0.3.156 or later.
No action is required for use of the Amazon CodeCatalyst service. Resynthesis runs in an isolated per-project environment with scoped credentials, and the service applies server-side validation there that rejects [local] merge strategy commands outside a restricted allowlisted form, including for blueprint versions published before 0.3.156.
📍 영향받는 시스템
Amazon Web Services codecatalyst-blueprints version < 0.3.156
⚔️ 공격 벡터
조작된 .ownership-file 내 [local] merge strategy의 owner 필드에 셸 메타문자 삽입
🛡️ 대응 방법
codecatalyst-blueprints 버전을 0.3.156 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 0.3.156 미만이면 취약한 상태이며, 0.3.156 이상이면 안전합니다.
pip show codecatalyst-blueprints 2>/dev/null | grep Version