Pagure의 여러 심각한 취약성으로 인한 원격 코드 실행
2025-03-23
보안 연구원들은 Fedora에서 사용하는 소프트웨어 포지인 Pagure에서 원격 코드 실행(RCE)을 허용하는 여러 심각한 취약성을 발견했습니다. 한 가지 취약성은 PagureRepo.log() 함수의 인수 주입으로 인해 발생하여 공격자가 임의의 파일에 쓰고 임의의 코드를 실행할 수 있게 합니다. 다른 취약성에는 경로 탐색 및 심볼릭 링크의 부적절한 처리가 포함됩니다. 이러한 취약성은 Fedora 패키지 사양 파일을 변경하여 악의적인 코드를 도입하는 데 악용될 수 있습니다. 공격자는 `/srv/git/.bashrc` 파일을 덮어써 Pagure 서버에 대한 완전한 제어권을 얻을 수도 있습니다. Fedora는 이 문제를 해결하기 위해 Forgejo로 마이그레이션했지만, 이러한 취약성은 오픈소스 소프트웨어 공급망 보안의 중요한 문제점을 보여줍니다.
더 보기
개발
