junfuture1103/cve-2026-55511Yamcs 임무 제어 시스템에서 Yarch SQL 큰따옴표 식별자 내 Java 구문 삽입을 통한 원격 코드 실행 (RCE)Yamcs 임무 제어 시스템에서 Yarch SQL 큰따옴표 식별자 내 Java 구문 삽입을 통한 원격 코드 실행 (RCE)
| 필드 | 값 |
|---|
| 제품 | Yamcs (org.yamcs:yamcs-core) |
| 권고 | GHSA-3g44-3m7x-cgg2 |
| 약점 | CWE-94: 코드 생성의 부적절한 제어 |
| 심각도 | 심각, CVSS 3.1: 9.1 |
| 벡터 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
| 필요 권한 | SystemPrivilege.ControlArchiving |
| 수정된 릴리스 | Yamcs 5.13.2 및 5.12.8 |
| 메인라인 패치 | b65a3d78178ba99a58b753feda6ecc3b5a694f13 |
Yamcs는 StreamSQL 객체에 대해 큰따옴표로 묶인 이름을 허용하며, 영향을 받는 릴리스에서는 해당 이름 안에 거의 모든 문자를 허용합니다. sum(...)와 같은 집계 표현식은 열 이름을 사용하여 동적으로 Java 소스를 구성하고 Janino SimpleCompiler로 해당 소스를 컴파일합니다.
취약한 코드는 열 이름을 생성된 Java 식별자에 배치하기 전에 최소한의 이름 검사만 적용합니다. 따라서 ControlArchiving 권한이 있는 인증된 사용자는 조작된 큰따옴표 열 이름을 생성하고, POST /api/archive/{instance}:executeSql을 통해 집계 컴파일러에 도달하여 Yamcs 서버 JVM 내에서 공격자가 영향을 미친 Java를 실행할 수 있습니다.
이는 의도된 Yamcs 인가 경계를 넘어섭니다. ControlArchiving은 아카이브, 테이블 및 스트림 관리를 허용하지만 서버에서 임의의 Java 실행을 의도적으로 부여하지는 않습니다.
| 릴리스 라인 | 영향 | 수정 |
|---|---|---|
| 5.13.x | 5.13.1 및 이전 | 5.13.2 |
| 5.12.x | 5.12.7 및 이전 | 5.12.8 |
Yamcs 5.13.2, 5.12.8 또는 이후 지원 릴리스로 업그레이드하십시오.
취약한 데이터 흐름은 다음과 같습니다.
POST /api/archive/{instance}:executeSql
-> TableApi.executeSql
-> Yarch StreamSQL 파서
-> 큰따옴표 객체 이름
-> SelectExpression 집계 바인딩
-> SumExpression.aggregateFillCode_newData
-> Expression.fillCode_InputDefVars
-> CompilableAggregateExpression.getCompiledAggregate
-> Janino SimpleCompiler.cook
-> Yamcs JVM에서 공격자가 영향을 미친 Java 실행
세 가지 조건이 결합되어 문제가 발생합니다.
S_DOUBLE_QUOTED_IDENTIFIER 문법은 CR, LF 및 "를 제외한 모든 문자를 허용합니다.Expression.fillCode_InputDefVars는 열 이름에서 Java 변수 이름을 파생합니다. sanitizeName 헬퍼는 /와 -만 대체합니다.이로 인해 생성된 newData(Tuple) 메서드에서 세미콜론, 공백, 괄호, 할당 연산자, 점과 같은 Java 구문 문자를 사용할 수 있습니다. 단순 표현식 경로와 달리 집계 메서드는 주입된 문장을 컴파일하고 실행할 수 있는 도달 가능한 문장 컨텍스트를 제공합니다.
악용하려면 SystemPrivilege.ControlArchiving을 보유한 인증된 계정이 필요합니다. 해당 권한이 없는 계정은 TableApi.executeSql 인가 검사에서 거부됩니다.
성공적인 악용은 Yamcs 서비스 프로세스의 권한으로 Java를 실행합니다. 배포 격리 방식에 따라 미션 데이터 및 호스트 환경의 기밀성, 무결성, 가용성에 영향을 미칠 수 있습니다. 이 문제는 인증되지 않은 RCE가 아니며, Yamcs 프로세스의 운영 체제 또는 컨테이너 권한을 자체적으로 상승시키지 않습니다.
포함된 poc.py는 의도적으로 무장화되지 않았습니다.
javac 및 java) - 무해한 마커 테스트용cd /path/to/yamcs
python3 /path/to/poc.py \
--json /tmp/evidence.json \
--log /tmp/crash_evidence.log \
--expect-crash
예상 지표:
source_chain_confirmed=true
generated_source_injection_present=true
marker_executed=true
evidence/evidence.json: 구조화된 소스 체인 및 Java 모델 결과evidence/crash_evidence.log: 간결한 검증 로그포함된 증거는 Yamcs 소스 커밋 98a05e95461207c143e4297ec4bb1b5a76e9cb19에 대해 생성되었습니다. 취약한 소스 체인, 생성된 소스 인젝션, 무해한 마커 실행을 확인합니다.
업스트림 수정 사항의 제목은 "Avoid RCE through double-quoted identifiers"입니다.
b65a3d78178ba99a58b753feda6ecc3b5a694f13, 5.13.2에서 릴리스8c1070b12c0a6c003903325cb2a1013347e2dbde, 5.12.8에서 릴리스핵심 변경 사항은 큰따옴표 식별자를 거의 제한 없는 문자 집합에서
< S_DOUBLE_QUOTED_IDENTIFIER: "\"" (~["\n","\r","\""])* "\"" >
허용 목록(문자, 숫자, $, _, #, .)으로 제한합니다.
< S_DOUBLE_QUOTED_IDENTIFIER: "\"" (<LETTER> | <DIGIT> | <SPECIAL_CHARS>)+ "\"" >
이를 통해 보고된 인젝션에 필요한 문장 구분 및 표현식 구성 문자를 이름이 Java 코드 생성에 도달하기 전에 거부합니다. 패치는 생성된 파서 파일, 문서 및 관련 테스트도 업데이트합니다.
이 제한은 공백이나 허용 목록에 없는 구두점을 포함하는 기존의 큰따옴표 객체 이름에 영향을 미칠 수 있습니다. 업그레이드 또는 백포트 전에 StreamSQL 스키마와 자동화를 검토하십시오.
CVE-2026-55511은 CVE-2026-44632 / GHSA-524g-x36v-9wm6와 다른 진입점입니다. CVE-2026-44632는 JavaExprAlgorithmExecutionFactory와 관련되며, 미션 데이터베이스 알고리즘 재정의 기능을 통해 접근 가능하고 ChangeMissionDatabase에 의해 제어됩니다.
이 문제는 org.yamcs.yarch.streamsql에 있으며, executeSql을 통해 접근 가능하고 ControlArchiving에 의해 제어됩니다. 이전 5.13.0 / 5.12.7 알고리즘 경로 수정 사항은 StreamSQL 컴파일러나 큰따옴표 식별자 처리를 수정하지 않았습니다.
VULNERABILITY_REPORT.md: 확장된 취약점 보고서PATCH_ANALYSIS.md: 상세한 업스트림 패치 분석 및 호환성 참고 사항이 자료는 귀하가 소유하거나 명시적으로 테스트할 권한이 있는 시스템에서만 사용하십시오.