🇰🇷 한글 설명
Wire의 직렬화 형식에서 타입 정보를 처리하는 방식의 결함으로 인해 악성 페이로드가 역직렬화기에 전달될 수 있습니다. 공격자는 대리 객체를 사용하여 수신 측에 다른 타입의 정보를 전달함으로써, 역직렬화 과정에서 임의의 객체를 생성하도록 유도할 수 있습니다.
💡 쉬운 설명
데이터를 주고받을 때 형식을 변환하는 과정에서 보안 허점이 발견되었습니다. 해커가 가짜 정보를 섞어 보내면 시스템이 잘못된 명령이나 프로그램을 실행하게 만들 수 있습니다.
🇺🇸 원문 (English)
Due to how Wire handles type information in its serialization format, malicious payloads can be passed to a deserializer. e.g. using a surrogate on the sender end, an attacker can pass information about a different type for the receiving end. And by doing so allowing the serializer to create any type on the deserializing end. This is the same issue that exists for .NET BinaryFormatter https://docs.microsoft.com/en-us/visualstudio/code-quality/ca2300?view=vs-2019. This also applies to the fork of Wire.
📍 영향받는 시스템
Wire 및 Wire의 포크(Fork) 버전
⚔️ 공격 벡터
조작된 직렬화 데이터를 전송하여 역직렬화 과정에서 임의의 객체 생성 유도
🛡️ 대응 방법
Wire 라이브러리를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
설치된 Wire의 버전을 확인하여 취약점이 해결된 버전인지 제조사의 보안 공지와 대조하십시오.
wire --version 2>/dev/null || echo 'Wire not installed'