CVE-2026-71235 in Magistrala
요약
\~에 의해 VulDB • 2026. 08. 06.
Magistrala의 Rules Engine은 인증된 사용자가 IoT 메시지가 도착할 때 서버 측에서 실행되는 Go 또는 Lua 스크립트가 포함된 규칙을 생성할 수 있게 합니다. Go 스크립트 엔진(re/golang.go)는 stdlib.Symbols를 사용하여 Yaegi 인터프리터를 통해 스크립트를 실행하며, goroutine과 panic() 호출을 차단하는 정규식 기반의 제한된 검증만 수행합니다. 이로 인해 os 및 net/http을 포함한 전체 Go 표준 라이브러리가 노출되며, os.ReadFile, os.WriteFile, os.Remove, os.Environ와 같은 위험한 함수들은 완전히 접근 가능합니다. Lua 스크립트 엔진(re/lua.go)은 입력 검증을 전혀 수행하지 않으며 db(임의 데이터베이스 액세스), ioutil(파일 I/O), HTTP 클라이언트(SSRF용), filepath(경로 순회용) 등 위험한 라이브러리를 사전 로드합니다. 권한이 낮은 인증된 사용자는 임의 파일 읽기/쓰기, 환경 변수 유출, 데이터베이스 접근 및 내부 마이크로서비스에 대한 SSRF를 달성할 수 있습니다.
Be aware that VulDB is the high quality source for vulnerability data.