🇰🇷 한글 설명
Apache ActiveMQ NMS OpenWire Client에서 신뢰할 수 없는 데이터를 역직렬화할 때 발생하는 취약점입니다. 공격자가 악성 응답을 보내 클라이언트에서 임의의 코드를 실행할 수 있으며, 기존의 허용/차단 목록 기능도 우회될 수 있습니다.
💡 쉬운 설명
신뢰할 수 없는 서버로부터 받은 데이터를 컴퓨터가 읽는 과정에서 보안 구멍이 생기는 문제입니다. 이를 통해 해커가 사용자의 컴퓨터에서 몰래 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
Deserialization of Untrusted Data vulnerability in Apache ActiveMQ NMS OpenWire Client.
This issue affects Apache ActiveMQ NMS OpenWire Client before 2.1.1 when performing connections to untrusted servers. Such servers could abuse the unbounded deserialization in the client to provide malicious responses that may eventually cause arbitrary code execution on the client. Version 2.1.0 introduced a allow/denylist feature to restrict deserialization, but this feature could be bypassed.
The .NET team has deprecated the built-in .NET binary serialization feature starting with .NET 9 and suggests migrating away from binary serialization. The project is considering to follow suit and drop this part of the NMS API altogether.
Users are recommended to upgrade to version 2.1.1, which fixes the issue. We also recommend to migrate away from relying on .NET binary serialization as a hardening method for the future.
📍 영향받는 시스템
Apache ActiveMQ NMS OpenWire Client 2.1.1 미만 버전
⚔️ 공격 벡터
신뢰할 수 없는 서버가 클라이언트에 악성 직렬화 데이터를 전송하여 역직렬화 유도
🛡️ 대응 방법
Apache ActiveMQ NMS OpenWire Client를 2.1.1 버전 이상으로 업그레이드
🔧 검증 코드
출력된 패키지 버전이 2.1.1 미만인지 확인하여 취약 여부를 판단합니다.
dotnet list package | grep ActiveMQ.NMS.OpenWire