🇰🇷 한글 설명
Apache Nutch의 DmozParser에서 XML 외부 엔티티(XXE) 주입 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 애플리케이션 서버의 파일 시스템을 조회하거나 백엔드 시스템과 상호작용할 수 있습니다.
💡 쉬운 설명
악의적으로 조작된 XML 파일을 보내 서버 내부의 중요한 파일을 훔쳐보거나 다른 시스템을 조종할 수 있는 보안 약점입니다. 마치 가짜 서류를 제출하여 서버가 내부 기밀을 읽게 만드는 것과 같습니다.
🇺🇸 원문 (English)
An XML external entity (XXE) injection vulnerability was discovered in the Nutch DmozParser and is known to affect Nutch versions < 1.18. XML external entity injection (also known as XXE) is a web security vulnerability that allows an attacker to interfere with an application's processing of XML data. It often allows an attacker to view files on the application server filesystem, and to interact with any back-end or external systems that the application itself can access. This issue is fixed in Apache Nutch 1.18.
📍 영향받는 시스템
Apache Nutch 1.18 미만 버전
⚔️ 공격 벡터
조작된 XML 엔티티가 포함된 데이터를 DmozParser를 통해 입력하여 공격
🛡️ 대응 방법
Apache Nutch를 1.18 이상 버전으로 업데이트
🔧 검증 코드
출력된 Nutch의 버전이 1.18 미만인지 확인하여 취약 여부를 판단합니다.
rpm -qa | grep nutch || dpkg -l | grep nutch
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server