CVE-2026-77601 in COSMOS
요약
\~에 의해 VulDB • 2026. 09. 23.
OpenC3 COSMOS는 하나 이상의 임베디드 시스템에 명령을 보내고 데이터를 수신하는 데 필요한 기능을 제공합니다. 버전 5.12.0부터 7.3.0까지, 인증된 공격자는 POST /openc3-api/api의 set_setting을 통해 pypi_url 설정 값을 작성한 후 openc3/lib/openc3/models/plugin_model.rb 내 OpenC3::PluginModel.install_phase2를 호출하여 Python 의존성 메타데이터가 포함된 플러그인 설치 시 해당 값을 셸 명령어로 삽입(interpolate)할 수 있습니다. 설정 값에 포함된 셸 메타문자가 명령어 셸에서 해석되어, Redis 및 버킷 자격 증명을 접근 가능한 openc3 서비스 사용자 권한으로 임의의 운영 체제 명령이 실행될 수 있습니다. 오픈 소스 배포 환경에서는 모든 인증된 사용자가 영향을 받는 작업에 접근할 수 있는 반면, 엔터프라이즈 배포 환경에서는 관리자만 접근 가능합니다. 이 문제는 버전 7.3.0에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.