🇰🇷 한글 설명
RESTEasy의 DataSourceProvider, FileProvider 및 Mime4JWorkaround 클래스에서 보안에 취약한 File.createTempFile() 메서드를 사용합니다. 이로 인해 생성된 임시 파일이 취약한 권한으로 설정되어 로컬 사용자가 해당 파일을 읽을 수 있는 위험이 있습니다.
💡 쉬운 설명
프로그램이 임시 파일을 만들 때 보안 설정이 허술하게 되어 있습니다. 이 때문에 같은 컴퓨터를 사용하는 다른 사람이 몰래 임시 파일을 열어볼 수 있습니다.
🇺🇸 원문 (English)
In RESTEasy the insecure File.createTempFile() is used in the DataSourceProvider, FileProvider and Mime4JWorkaround classes which creates temp files with insecure permissions that could be read by a local user.
📍 영향받는 시스템
RESTEasy (DataSourceProvider, FileProvider, Mime4JWorkaround 클래스 사용 버전)
⚔️ 공격 벡터
동일한 시스템에 접근 권한이 있는 로컬 사용자가 취약한 권한으로 생성된 임시 파일을 읽음
🛡️ 대응 방법
File.createTempFile() 대신 보안 권한을 명시적으로 설정할 수 있는 안전한 파일 생성 방식(예: java.nio.file.Files.createTempFile)으로 업데이트
🔧 검증 코드
출력된 경로에 RESTEasy 라이브러리가 포함되어 있는지 확인하여 사용 여부를 판단합니다.
find / -name "*resteasy*" 2>/dev/null