🇰🇷 한글 설명
MindsDB의 OpenBBtable 클래스에서 발생하는 코드 주입 취약점으로, 사용자 입력 문자열에 대한 적절한 검증이 이루어지지 않아 발생합니다. 인증된 공격자가 이를 악용하여 MindsDB 서비스 계정 권한으로 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
프로그램이 사용자가 입력한 명령어를 검사하지 않고 그대로 실행하여 발생하는 보안 문제입니다. 해커가 로그인을 한 상태라면 시스템을 마음대로 조종할 수 있는 위험한 상태입니다.
🇺🇸 원문 (English)
MindsDB OpenBBtable Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of MindsDB. Authentication is required to exploit this vulnerability.
The specific flaw exists within the OpenBBtable class. The issue results from the lack of proper validation of a user-supplied string before using it to execute Python code. An attacker can leverage this vulnerability to execute code in the context of the service account. Was ZDI-CAN-28388.
📍 영향받는 시스템
MindsDB (OpenBBtable 클래스를 사용하는 설치 버전)
⚔️ 공격 벡터
인증된 사용자가 OpenBBtable 클래스에 악의적인 Python 코드가 포함된 문자열을 입력하여 원격으로 실행
🛡️ 대응 방법
MindsDB를 최신 보안 패치가 적용된 버전으로 업데이트하고, 사용자 입력값에 대한 엄격한 검증 로직을 적용해야 합니다.
🔧 검증 코드
설치된 MindsDB의 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 대조합니다.
pip show mindsdb | grep -E 'Version'