Skip to main content

CVE-2025-66205 Environment Tech Spec

대상 소프트웨어(Target Application Specification)​

  • 제품명/버전
    • Frappe Framework 15.x - 15.85.x / 14.x - 14.99.1
  • 배포 방식
    • Docker를 통해 배포

시스템 환경(System Environment)​

  • OS 종류 및 버전

    • Docker 기반 설치, OS 제한 없음
    • 권장 OS - Ubuntu 20.04 / 22.04 LTS , Debian 11

  • Web Server / App Server

    • Gunicorn (WSGI Server) 21.2.0+
    • Nginx (Reverse Proxy) 1.24.x / 1.25.x

  • Database 종류 및 버전

    • MariaDB 10.6.x / 10.11.x / 11.0.x (권장)

의존하는 구성요소(Dependencies)​

(1-day 취약점 분석에서 필요, 딱히 안나오면 Skip)

  • Composer / pip / npm 등 의존성 리스트

    • python 3.10 +
    • Node.js 18 + / Yarn
    • Redis (Cache + Queue)
    • MariaDB / MySQL
    • wkhtmltopdf
    • 필수 python 패키지 (Werkzeug, Jinja2, redis, pymysql 등)
    • 필수 Node 패키지 (webpack, Vue, Sass)

  • ORM 및 DB 연결 방식

    • Frappe ORM 사용 (DocType 기반 모델)
    • Raw SQL Query도 제공

네트워크 환경(Network Topology)​

  • 로컬 단일 서버

  • 서버 IP / 포트 구조

    • nginx / 80 / 80
    • nginx / 443 / 443 / SSL
    • Gunicorn / 8000 / 8000
    • MariaDB / 3306 / 3306
    • Redis / 6379 / 6379

  • Reverse Proxy 여부

    • Reverse Proxy 존재함 (Nginx)
    • Backend는 Nginx를 통해서만 접근 가능

  • NAT · Bridge 등 가상화 네트워크 모드 (테스트 VM일 경우)

    • Docker Bridge 네트워크

PoC 실행 환경(PoC Execution Environment)​

  • 공격자 클라이언트
    • Kali Linux 2024.3
    • Parrot Security OS 6.0
    • BlackArch Linux 2024.06.01
  • Python 버전
    • Python 3.11. 9 (Kali 기본)
  • 네트워크 도구
    • curl 8.5.0 +
    • wget 1.21.4 +
    • nmap 7.94 +
    • netcat 1.226 -웹 취약점 스캐너
    • Burp Suite pro 2024.9.5+
    • owasp zap 2.14.0+
  • SQL Injection 도구
    • sqlmap 1.8+
    • sqliv 1.7+
    • noSQLMap 0.7+
  • Fuzzing 도구
    • ffuf 2.1.0+
    • gobuster 3.6.0+
    • wfuzz 3.1.0+
  • 자동화 도구
    • nuclei 3.2.0+
    • nikto 2.5.0+
  • 브라우저 버전
    • Google Chrome 130.0.6723.58+
    • Mozilla Firefox 131.0+
  • 필수 확장
    • Wappalyzer 6.10.67
    • FoxyProxy 8.8
    • Cookie-Editor 1.11.0
    • HackTools 0.4.0

이 외 필요한 조건​

작성한 의존성 구성요소 외에도 다른 의존성 구성요소 존재 같은 취약점이 업데이트 이후에도 계속해서 발견됨