🇰🇷 한글 설명
XStream 1.4.16 미만 버전에서 발생하는 취약점으로, 원격 공격자가 조작된 입력 스트림을 통해 대상 시스템의 CPU 자원을 100% 점유하게 만들 수 있습니다. 이로 인해 서비스 거부(DoS) 상태가 발생할 수 있으며, 화이트리스트 기반의 보안 프레임워크를 설정하지 않은 경우 위험합니다.
💡 쉬운 설명
악의적으로 조작된 데이터를 보내 컴퓨터의 두뇌 역할을 하는 CPU를 과도하게 사용하게 만들어 시스템을 멈추게 하는 공격입니다. 웹사이트나 프로그램이 갑자기 응답하지 않게 되어 서비스를 이용할 수 없게 됩니다.
🇺🇸 원문 (English)
XStream is a Java library to serialize objects to XML and back again. In XStream before version 1.4.16, there is vulnerability which may allow a remote attacker to allocate 100% CPU time on the target system depending on CPU type or parallel execution of such a payload resulting in a denial of service only by manipulating the processed input stream. No user is affected who followed the recommendation to setup XStream's security framework with a whitelist limited to the minimal required types. If you rely on XStream's default blacklist of the Security Framework, you will have to use at least version 1.4.16.
📍 영향받는 시스템
XStream version 1.4.16 미만 버전
⚔️ 공격 벡터
조작된 XML 입력 스트림을 통한 CPU 자원 고갈 공격
🛡️ 대응 방법
XStream을 1.4.16 이상 버전으로 업데이트하거나, 최소한의 타입만 허용하는 화이트리스트 기반 보안 프레임워크를 설정하십시오.
🔧 검증 코드
검색된 jar 파일의 파일명에서 버전 번호를 확인하여 1.4.16 미만인지 확인합니다.
find / -name "xstream*.jar" 2>/dev/null