🇰🇷 한글 설명
Apache Geode 1.15.0 미만 버전에서 Java 8 또는 Java 11을 사용할 때 REST API를 통해 신뢰할 수 없는 데이터가 역직렬화되는 취약점이 존재합니다. 이 취약점을 악용하면 공격자가 원격 코드 실행을 시도할 수 있으므로 주의가 필요합니다.
💡 쉬운 설명
해커가 조작된 데이터를 보내 시스템이 이를 잘못 읽어 들이게 만들어 컴퓨터를 마음대로 조종할 수 있는 문제입니다. 이를 막으려면 소프트웨어를 최신 버전으로 업데이트하고 보안 설정을 강화해야 합니다.
🇺🇸 원문 (English)
Apache Geode versions prior to 1.15.0 are vulnerable to a deserialization of untrusted data flaw when using REST API on Java 8 or Java 11. Any user wishing to protect against deserialization attacks involving REST APIs should upgrade to Apache Geode 1.15 and follow the documentation for details on enabling "validate-serializable-objects=true" and specifying any user classes that may be serialized/deserialized with "serializable-object-filter". Enabling "validate-serializable-objects" may impact performance.
📍 영향받는 시스템
Apache Geode 1.15.0 미만 버전 (Java 8 또는 Java 11 환경)
⚔️ 공격 벡터
REST API를 통한 신뢰할 수 없는 데이터의 역직렬화 공격
🛡️ 대응 방법
Apache Geode 1.15 이상으로 업그레이드하고 'validate-serializable-objects=true' 설정 및 'serializable-object-filter'를 적용하십시오.
🔧 검증 코드
출력된 결과에서 Apache Geode의 설치 경로와 현재 적용된 버전을 확인하여 1.15.0 미만인지 체크합니다.
grep -r "geode" /usr/local/lib /opt 2>/dev/null | grep -E 'version'