🇰🇷 한글 설명
Yonyou U8 Cloud의 nc.impl.pub.filesystem.FileManageServlet 컴포넌트에서 인증되지 않은 사용자가 자바 역직렬화 취약점을 악용할 수 있습니다. 공격자는 POST 요청을 통해 직렬화된 페이로드를 전송함으로써 원격에서 임의의 OS 명령을 실행할 수 있습니다.
💡 쉬운 설명
해커가 로그인 없이도 서버에 특수한 데이터를 보내 컴퓨터를 마음대로 조종할 수 있는 심각한 보안 결함입니다. 이 결함을 이용하면 공격자가 서버의 모든 권한을 탈취할 수 있습니다.
🇺🇸 원문 (English)
Yonyou U8 Cloud contains an unauthenticated Java deserialization vulnerability in the nc.impl.pub.filesystem.FileManageServlet component that allows remote unauthenticated attackers to execute arbitrary OS commands by sending a serialized payload via POST request. Attackers can exploit the doAction method, which passes raw HTTP request body data directly to ObjectInputStream.readObject() without filtering, to achieve remote code execution. Exploitation evidence was first observed by the Shadowserver Foundation on 2025-02-13.
📍 영향받는 시스템
Yonyou U8 Cloud (nc.impl.pub.filesystem.FileManageServlet 컴포넌트 포함 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 POST 요청의 본문에 악성 직렬화 데이터를 담아 전송하여 원격 코드 실행(RCE)
🛡️ 대응 방법
해당 소프트웨어 제조사의 보안 패치를 즉시 적용하거나, nc.impl.pub.filesystem.FileManageServlet에 대한 접근을 네트워크 방화벽에서 차단하십시오.
🔧 검증 코드
해당 URL로 POST 요청을 보냈을 때 200 OK 또는 특정 응답이 오는지 확인하여 컴포넌트 노출 여부를 판단합니다.
curl -X POST -i http://<TARGET_IP>/nc/impl/pub/filesystem/FileManageServlet && echo 'Check if the component is accessible'