🇰🇷 한글 설명
TIBCO ActiveMatrix BPM 및 관련 제품군의 관리 서버 구성 요소에서 권한이 없는 사용자가 임의의 코드를 업로드하고 실행할 수 있는 취약점이 발견되었습니다. 'Upload DAA' 권한이 없는 사용자라도 이론적으로 악성 코드를 업로드하여 서비스 그리드 노드에서 실행할 수 있습니다.
💡 쉬운 설명
파일을 올릴 권한이 없는 일반 사용자가 몰래 악성 프로그램을 서버에 올리고 실행할 수 있는 보안 구멍입니다. 이로 인해 해커가 시스템의 제어권을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
The administrative server component of TIBCO Software Inc.'s TIBCO ActiveMatrix BPM, TIBCO ActiveMatrix BPM Distribution for TIBCO Silver Fabric, TIBCO ActiveMatrix Policy Director, TIBCO ActiveMatrix Service Bus, TIBCO ActiveMatrix Service Grid, TIBCO ActiveMatrix Service Grid Distribution for TIBCO Silver Fabric, TIBCO Silver Fabric Enabler for ActiveMatrix BPM, and TIBCO Silver Fabric Enabler for ActiveMatrix Service Grid contains a vulnerability wherein a user without privileges to upload distributed application archives ("Upload DAA" permission) can theoretically upload arbitrary code, and in some circumstances then execute that code on ActiveMatrix Service Grid nodes. Affected releases are TIBCO Software Inc.'s TIBCO ActiveMatrix BPM: versions up to and including 4.2.0, TIBCO ActiveMatrix BPM Distribution for TIBCO Silver Fabric: versions up to and including 4.2.0, TIBCO ActiveMatrix Policy Director: versions up to and including 1.1.0, TIBCO ActiveMatrix Service Bus: versions up to and including 3.3.0, TIBCO ActiveMatrix Service Grid: versions up to and including 3.3.1, TIBCO ActiveMatrix Service Grid Distribution for TIBCO Silver Fabric: versions up to and including 3.3.0, TIBCO Silver Fabric Enabler for ActiveMatrix BPM: versions up to and including 1.4.1, and TIBCO Silver Fabric Enabler for ActiveMatrix Service Grid: versions up to and including 1.3.1.
📍 영향받는 시스템
TIBCO ActiveMatrix BPM (<=4.2.0), Policy Director (<=1.1.0), Service Bus (<=3.3.0), Service Grid (<=3.3.1), Silver Fabric Enabler (BPM <=1.4.1, Service Grid <=1.3.1)
⚔️ 공격 벡터
권한이 없는 사용자가 임의의 분산 애플리케이션 아카이브(DAA)를 업로드하여 코드를 실행하는 방식
🛡️ 대응 방법
TIBCO에서 제공하는 최신 보안 패치를 적용하거나 해당 제품의 버전을 취약점이 해결된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과의 버전 번호가 설명에 명시된 취약 버전 범위에 포함되는지 확인하십시오.
rpm -qa | grep -E 'TIBCO_ActiveMatrix|Silver_Fabric' || dpkg -l | grep -E 'TIBCO_ActiveMatrix|Silver_Fabric'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server