🇰🇷 한글 설명
Apache MINA SSHD 2.9.1 이하 버전의 SimpleGeneratorHostKeyProvider 클래스에서 Java 역직렬화 취약점이 발견되었습니다. 공격자가 조작된 직렬화된 객체를 전달할 경우 원격 코드 실행(RCE)이 가능할 수 있습니다.
💡 쉬운 설명
SSH 서버가 보안 키를 불러오는 과정에서 검증되지 않은 데이터를 잘못 읽어 들여 발생하는 문제입니다. 해커가 이 틈을 타서 서버에 악성 명령어를 실행할 수 있습니다.
🇺🇸 원문 (English)
Class org.apache.sshd.server.keyprovider.SimpleGeneratorHostKeyProvider in Apache MINA SSHD <= 2.9.1 uses Java deserialization to load a serialized java.security.PrivateKey. The class is one of several implementations that an implementor using Apache MINA SSHD can choose for loading the host keys of an SSH server.
📍 영향받는 시스템
Apache MINA SSHD <= 2.9.1
⚔️ 공격 벡터
조작된 직렬화된 java.security.PrivateKey 객체를 전송하여 원격 코드 실행
🛡️ 대응 방법
Apache MINA SSHD를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 라이브러리 버전이 2.9.1 이하인지 확인하십시오.
mvn dependency:list | grep 'org.apache.sshd:sshd-core'