🇰🇷 한글 설명
XStream 라이브러리에서 발생하는 취약점으로, 공격자가 조작된 입력 스트림을 통해 대상 시스템의 CPU 자원을 100% 점유하게 만들 수 있습니다. 이는 서비스 거부(DoS) 공격으로 이어질 수 있으며, 화이트리스트 기반의 보안 프레임워크를 설정하지 않은 경우에 발생합니다.
💡 쉬운 설명
특수하게 만들어진 데이터를 보내서 컴퓨터의 두뇌 역할을 하는 CPU를 과부하 상태로 만드는 공격입니다. 이로 인해 컴퓨터가 매우 느려지거나 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
XStream is a simple library to serialize objects to XML and back again. In affected versions this vulnerability may allow a remote attacker to allocate 100% CPU time on the target system depending on CPU type or parallel execution of such a payload resulting in a denial of service only by manipulating the processed input stream. No user is affected, who followed the recommendation to setup XStream's security framework with a whitelist limited to the minimal required types. XStream 1.4.18 uses no longer a blacklist by default, since it cannot be secured for general purpose.
📍 영향받는 시스템
XStream 라이브러리 (화이트리스트 보안 설정이 되어 있지 않은 버전)
⚔️ 공격 벡터
조작된 XML 입력 스트림을 통한 CPU 자원 고갈 공격
🛡️ 대응 방법
XStream 보안 프레임워크를 사용하여 최소한의 필수 타입만 허용하는 화이트리스트를 설정하거나 최신 버전으로 업데이트하십시오.
🔧 검증 코드
검색된 XStream JAR 파일의 버전을 확인하여 보안 설정 적용 여부 및 업데이트 필요성을 판단합니다.
find / -name "xstream*.jar" 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
Windows iSCSI Target Service