🇰🇷 한글 설명
Apache bRPC 1.6.0 이하 버전의 모든 플랫폼에서 rpcz 페이지에 XSS 코드를 주입할 수 있는 보안 취약점이 발견되었습니다. 공격자가 rpcz 기능이 활성화된 bRPC 서버로 HTTP 요청을 보낼 수 있다면 임의의 XSS 코드를 삽입할 수 있습니다.
💡 쉬운 설명
웹 브라우저에서 실행되는 악성 코드를 웹 페이지에 몰래 심을 수 있는 취약점입니다. 이를 통해 공격자가 사용자의 정보를 훔치거나 웹 페이지를 변조할 수 있습니다.
🇺🇸 원문 (English)
Security vulnerability in Apache bRPC <=1.6.0 on all platforms allows attackers to inject XSS code to the builtin rpcz page.
An attacker that can send http request to bRPC server with rpcz enabled can inject arbitrary XSS code to the builtin rpcz page.
Solution (choose one of three):
1. upgrade to bRPC > 1.6.0, download link: https://dist.apache.org/repos/dist/release/brpc/1.6.1/
2. If you are using an old version of bRPC and hard to upgrade, you can apply this patch: https://github.com/apache/brpc/pull/2411
3. disable rpcz feature
📍 영향받는 시스템
Apache bRPC <= 1.6.0 (모든 플랫폼)
⚔️ 공격 벡터
rpcz 기능이 활성화된 bRPC 서버로 조작된 HTTP 요청을 전송하여 XSS 코드 주입
🛡️ 대응 방법
bRPC를 1.6.1 버전 이상으로 업그레이드하거나, 제공된 패치를 적용하거나, rpcz 기능을 비활성화하십시오.
🔧 검증 코드
출력된 bRPC 버전이 1.6.0 이하인지 확인하여 취약 여부를 판단합니다.
brpc --version 2>/dev/null || echo 'Check installed bRPC version manually'