🇰🇷 한글 설명
IBM WebSphere Application Server(WAS)의 WS-Security 구현체에서 X.509 인증서를 적절히 검증하지 못하는 취약점이 발견되었습니다. XML 디지털 서명에 신뢰 저장소가 구성된 경우, 원격 공격자가 지정되지 않은 경로를 통해 권한을 획득할 수 있습니다.
💡 쉬운 설명
인증서가 진짜인지 확인하는 과정에 허점이 있어, 공격자가 가짜 신분증을 내밀어도 시스템이 이를 통과시켜 줄 수 있는 문제입니다. 이를 통해 공격자는 관리자 권한을 몰래 얻어낼 위험이 있습니다.
🇺🇸 원문 (English)
The WS-Security implementation in IBM WebSphere Application Server (WAS) 6.1 before 6.1.0.47, 7.0 before 7.0.0.31, 8.0 before 8.0.0.8, and 8.5 before 8.5.5.1, and WAS Feature Pack for Web Services 6.1 before 6.1.0.47, when a trust store is configured for XML Digital Signatures, does not properly verify X.509 certificates, which allows remote attackers to obtain privileged access via unspecified vectors.
📍 영향받는 시스템
IBM WAS 6.1(<6.1.0.47), 7.0(<7.0.0.31), 8.0(<8.0.0.8), 8.5(<8.5.5.1) 및 WAS Feature Pack for Web Services 6.1(<6.1.0.47)
⚔️ 공격 벡터
신뢰 저장소가 설정된 환경에서 조작된 X.509 인증서를 이용한 원격 공격
🛡️ 대응 방법
IBM에서 제공하는 최신 보안 패치(WAS 6.1.0.47, 7.0.0.31, 8.0.0.8, 8.5.5.1 이상 버전)를 적용하십시오.
🔧 검증 코드
출력된 버전 정보가 취약점이 해결된 패치 버전보다 낮은지 확인하십시오.
java -version && /opt/IBM/WebSphere/AppServer/bin/versioninfo.sh 2>/dev/null | grep -E 'WAS (6.1|7.0|8.0|8.5)'
📊 CVSS Vector String
AV:N/AC:M/Au:N/C:P/I:P/A:P
💻 영향받는 소프트웨어
IBM Security Verify Access