🇰🇷 한글 설명
Apache Ignite의 업데이트 알리미 컴포넌트가 사용자 민감 정보(버전, 시스템 속성)를 암호화 없이 외부 PHP 서버로 전송합니다. 이로 인해 시스템 구성정보가 유출될 수 있습니다.
💡 쉬운 설명
Apache Ignite 설치 후 업데이트 확인 시 당신의 컴퓨터 정보가 외부 서버로 보내집니다. 이 정보에 민감한 시스템 세부사항이 포함될 수 있어 해커에게 악용될 위험이 있습니다.
🇺🇸 원문 (English)
Apache Ignite 1.0.0-RC3 to 2.0 uses an update notifier component to update the users about new project releases that include additional functionality, bug fixes and performance improvements. To do that the component communicates to an external PHP server (http://ignite.run) where it needs to send some system properties like Apache Ignite or Java version. Some of the properties might contain user sensitive information.
📍 영향받는 시스템
Apache Ignite 1.0.0-RC3 ~ 2.0
⚔️ 공격 벡터
Update notifier가 민감한 시스템 정보를 평문으로 외부 서버로 전송하여 정보 유출
🛡️ 대응 방법
Apache Ignite를 2.1 이상으로 업그레이드하거나 update notifier를 비활성화
🔧 검증 코드
파일명에서 추출된 버전이 2.0 이하면 취약함. 결과가 없으면 Ignite가 설치되지 않은 상태.
find /opt -name 'ignite-core-*.jar' 2>/dev/null | head -1 | sed 's/.*ignite-core-//;s/.jar//'