🇰🇷 한글 설명
aiyiyi121 SxDevOps 1.0 및 1.1 버전의 MCP STDIO Server Management 구성 요소에서 명령 주입 취약점이 발견되었습니다. backend/aiops/services.py 파일의 subprocess.Popen 함수 내 endpoint_or_command 인자 조작을 통해 원격에서 악의적인 명령을 실행할 수 있습니다.
💡 쉬운 설명
프로그램이 외부 명령을 처리하는 과정에서 보안 검증이 부족하여 발생한 문제입니다. 해커가 원격에서 시스템에 몰래 명령어를 입력해 마음대로 조종할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
A flaw has been found in aiyiyi121 SxDevOps 1.0/1.1. Affected is the function subprocess.Popen of the file backend/aiops/services.py of the component MCP STDIO Server Management. This manipulation of the argument endpoint_or_command causes command injection. The attack may be initiated remotely. Patch name: 2b4bf8585c3e731e7a8af30801ea46680bc783f9. To fix this issue, it is recommended to deploy a patch. The vendor was contacted early, responded in a very professional manner and quickly released a fixed version of the affected product.
📍 영향받는 시스템
aiyiyi121 SxDevOps 1.0, 1.1
⚔️ 공격 벡터
원격에서 endpoint_or_command 인자를 조작하여 명령 주입(Command Injection) 수행
🛡️ 대응 방법
패치(2b4bf8585c3e731e7a8af30801ea46680bc783f9)를 적용하거나 최신 수정 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.0 또는 1.1인 경우 해당 취약점에 노출된 상태입니다.
pip show aiyiyi121-sxdevops 2>/dev/null | grep -E 'Version'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:L
💻 영향받는 소프트웨어
Multi-Domain Security Management Server