🇰🇷 한글 설명
Apache Fineract 1.9 및 이전 버전의 다양한 API 엔드포인트에서 SQL 인젝션 취약점이 발견되었습니다. 인증된 공격자가 REST API의 쿼리 매개변수에 악성 데이터를 주입하여 데이터베이스를 조작할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 시스템의 데이터베이스 명령어를 몰래 끼워 넣어 정보를 빼내거나 조작할 수 있는 보안 약점입니다. 이를 방지하기 위해 시스템을 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
SQL Injection vulnerability in various API endpoints - offices, dashboards, etc. Apache Fineract versions 1.9 and before have a vulnerability that allows an authenticated attacker to inject malicious data into some of the REST API endpoints' query parameter.
Users are recommended to upgrade to version 1.10.1, which fixes this issue.
A SQL Validator has been implemented which allows us to configure a series of tests and checks against our SQL queries that will allow us to validate and protect against nearly all potential SQL injection attacks.
📍 영향받는 시스템
Apache Fineract 1.9 및 그 이전 모든 버전
⚔️ 공격 벡터
인증된 사용자가 REST API 엔드포인트의 쿼리 매개변수에 악성 SQL 구문을 주입
🛡️ 대응 방법
Apache Fineract를 취약점이 해결된 버전 1.10.1 이상으로 업그레이드
🔧 검증 코드
명령어 실행 결과 버전 정보가 1.9 이하로 나타나면 취약한 버전이 설치된 상태입니다.
curl -s http://<target-ip>:<port>/api/v1/version | grep -E '1\.(9|[0-8])(\\..*)?'