im3x Scriptables 파일 이름 처리 결함으로 OS 명령 실행 가능
아이폰 앱 개발용 보조 도구에 파일 이름으로 해킹당할 수 있습니다!
요약
im3x Scriptables 개발 서버의 /sync 주소에 특수한 파일 이름을 보내면 공격자가 서버 컴퓨터에서 명령을 실행할 수 있습니다. 인증 없이 네트워크에서 접근되는 기본 설정이 해당합니다.
해당 조건
- 기본 설정으로 모든 네트워크 인터페이스(0.0.0.0:5566)에 열린 상태
- 인증 기능이 없는 상태
대처법
소스에 고친 버전이 없습니다. 개발 서버를 외부 네트워크에서 접근하지 못하게 막고, 프로그램이 v2-dev 이후 버전인지 확인한 뒤 공식 안내를 읽으세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- 분석 글: github.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인