🇰🇷 한글 설명
Sun Java System Access Manager 6.3~7.1 및 Sun Java System Identity Server 6.1~6.2 버전에서 XML 서명의 XSLT 변환 시 스타일시트를 적절히 처리하지 못하는 취약점이 발견되었습니다. 공격자가 조작된 스타일시트를 통해 임의의 코드를 실행할 수 있는 위험이 있습니다.
💡 쉬운 설명
XML 문서의 형식을 바꾸는 과정에서 악성 코드가 포함된 설계도를 실행하게 만드는 보안 결함입니다. 이를 통해 해커가 공격자의 명령을 시스템에서 직접 실행할 수 있습니다.
🇺🇸 원문 (English)
Sun Java System Access Manager 6.3 through 7.1 and Sun Java System Identity Server 6.1 and 6.2 do not properly process XSLT stylesheets in XSLT transforms in XML signatures, which allows context-dependent attackers to execute arbitrary code via a crafted stylesheet, a related issue to CVE-2007-3715, CVE-2007-3716, and CVE-2007-4289.
📍 영향받는 시스템
Sun Java System Access Manager 6.3-7.1, Sun Java System Identity Server 6.1-6.2
⚔️ 공격 벡터
조작된 XSLT 스타일시트를 포함한 XML 서명 파일을 전송하여 서버의 XSLT 변환 엔진을 공격
🛡️ 대응 방법
해당 소프트웨어를 최신 보안 패치가 적용된 버전으로 업데이트하거나 XSLT 변환 시 외부 엔티티 참조를 제한하도록 설정
🔧 검증 코드
출력된 결과에 취약한 버전 범위(Access Manager 6.3-7.1 또는 Identity Server 6.1-6.2)가 포함되어 있는지 확인
rpm -qa | grep -E 'sun-java-system-access-manager|sun-java-system-identity-server'