rConfig 큐 처리 역직렬화 결함으로 원격 코드 실행 가능
네트워크 장비 설정 관리 프로그램에 로그인 없이 누구나 들어와 서버를 해킹할 수 있습니다!
요약
rConfig는 네트워크 설정 관리 도구입니다. 큐 처리의 역직렬화 결함으로 인증하지 않은 원격 공격자가 서버에서 임의 코드를 실행할 수 있으며, Core 8.0.0 이상 8.2.19 미만과 Pro 8.4.1 미만이 해당합니다.
해당 조건
- Redis 큐(Laravel Horizon)가 인증 없이 실행되는 배포
- Redis에 직접 닿거나 로그인한 사용자가 장치 대상을 서버 자신의 주소로 지정할 수 있는 경우
대처법
Core는 8.2.20 이상, Pro는 8.4.1 이상으로 업데이트하세요. 업데이트 후 API 토큰과 장치·SMTP 등 저장된 비밀번호를 바꾸고, 모르는 사용자 계정이 없는지 확인하세요.
내 제품에 맞는 버전 이상으로 업데이트하세요:
- rConfig Core 8.2.20 이상
- rConfig Pro 8.4.1 이상
대상 제품과 운영체제
CVE 번호
원문 링크
- 보안 공지: rconfig.com (새 탭에서 열림)
- 분석 글: vulncheck.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인