🇰🇷 한글 설명
Mesop 1.3.4 미만 버전에서 인증되지 않은 사용자가 /__csp__ 엔드포인트를 통해 터미널 제어 시퀀스를 주입할 수 있는 취약점이 존재합니다. 공격자가 조작한 값이 로그에 출력될 때 ANSI 또는 VT100 시퀀스가 포함되면, 관리자가 사용하는 터미널의 화면을 지우거나 조작하여 모니터링 및 사고 대응의 무결성을 해칠 수 있습니다.
💡 쉬운 설명
해커가 특수하게 조작된 메시지를 보내 관리자의 모니터 화면을 마음대로 조작하거나 가짜 메시지를 띄울 수 있는 문제입니다. 이로 인해 시스템의 실제 상태를 확인하는 데 혼란을 줄 수 있습니다.
🇺🇸 원문 (English)
Mesop is a Python-based UI framework that allows users to build web applications. Prior to 1.3.4, the unauthenticated /__csp__ endpoint passes attacker-controlled document-uri, blocked-uri, and violated-directive values to the csp_report handler in mesop/server/static_file_serving.py, which prints them to standard output without neutralizing terminal control sequences. When an operator views the resulting logs in an ANSI-capable terminal, injected ANSI or VT100 sequences can clear or reposition the display, hide text, or present forged messages, reducing the integrity of monitoring and incident-response output. This issue is fixed in version 1.3.4.
📍 영향받는 시스템
Mesop versions prior to 1.3.4
⚔️ 공격 벡터
인증되지 않은 사용자가 /__csp__ 엔드포인트로 조작된 CSP 보고 데이터를 전송하여 로그에 ANSI 시퀀스 주입
🛡️ 대응 방법
Mesop 버전을 1.3.4 이상으로 업데이트
🔧 검증 코드
출력된 버전이 1.3.4 미만이면 취약한 상태이며, 1.3.4 이상이면 안전합니다.
pip show mesop | grep Version