🇰🇷 한글 설명
Siemens Polarion ALM(V22R2 미만 모든 버전)에서 XML 외부 개체 주입(XXE) 취약점이 발견되었습니다. 공격자가 이를 악용하면 애플리케이션 서버 파일 시스템의 파일을 열람할 수 있습니다.
💡 쉬운 설명
XML 데이터를 처리하는 과정의 허점을 이용해 공격자가 서버 안의 파일을 몰래 읽을 수 있습니다. 설정 정보나 민감한 문서가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
A vulnerability has been identified in Polarion ALM (All versions < V22R2). The application contains a XML External Entity Injection (XXE) vulnerability. This could allow an attacker to view files on the application server filesystem.
📍 영향받는 시스템
Siemens Polarion ALM V22R2 미만 모든 버전
⚔️ 공격 벡터
조작된 XML 문서를 Polarion에 전송해 외부 개체를 참조하도록 하여 서버 파일 내용을 응답으로 획득
🛡️ 대응 방법
Polarion ALM을 V22R2 이상으로 업그레이드하고, XML 파서에서 외부 개체 처리를 비활성화
🔧 검증 코드
Polarion 설치 디렉터리가 출력되면 해당 설치본의 버전 파일을 확인해 V22R2 미만인지 판단하고, 결과가 없으면 Polarion이 설치되어 있지 않은 것입니다.
find / -iname '*polarion*' -type d 2>/dev/null | head -n 5
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server