یک نقص امنیتی در نسخه 1.0.0 نرم‌افزار OctoPrint شناسایی شده است که به مهاجمان اجازه می‌دهد از طریق تزریق دستورات سیستم‌عامل (OS Command Injection)، کدهای مخرب را روی سرور هدف اجرا کنند.
جزئیات فنی آسیب‌پذیری
این مشکل در تابع executeSystemCommand واقع در فایل src/octoprint/server/api/system.py و در بخش Command API رخ می‌دهد. با دست‌کاری آرگومان command، مهاجم می‌تواند دستورات دلخواه خود را به سیستم‌عامل ارسال کرده و آن‌ها را اجرا نماید.
تحلیل ریسک و وضعیت فعلی
- نوع حمله: این حمله می‌تواند به صورت کاملاً از راه دور (Remote) انجام شود.
- وضعیت اکسپلویت: اکسپلویت (Exploit) مربوط به این آسیب‌پذیری به صورت عمومی منتشر شده است و می‌تواند توسط مهاجمان برای هدف قرار دادن سیستم‌های آسیب‌پذیر مورد استفاده قرار گیرد.
- پاسخ سازنده: طبق گزارش‌ها، با سازنده نرم‌افزار جهت اطلاع‌رسانی تماس گرفته شده اما تاکنون هیچ پاسخی دریافت نشده است.
با توجه به انتشار عمومی کد اکسپلویت، به مدیران سیستم‌های چاپ سه‌بعدی و مهندسان امنیت توصیه می‌شود دسترسی‌های API را محدود کرده و در صورت امکان، دسترسی‌های شبکه به این سرویس را تحت نظارت شدید قرار دهند.
