🇰🇷 한글 설명
Jmix 라이브러리에서 FileRef 파라미터를 조작하여 서버 내 파일에 접근할 수 있는 취약점이 발견되었습니다. 공격자는 데이터베이스를 수정하거나 REST API의 /files 엔드포인트를 통해 시스템 파일에 접근할 수 있습니다. 이 문제는 Jmix 1.6.2 및 2.4.0 버전에서 패치되었습니다.
💡 쉬운 설명
해커가 파일 이름 정보를 살짝 바꿔서 원래는 볼 수 없는 서버 내부의 중요한 파일들을 몰래 훔쳐볼 수 있는 문제입니다. 이를 막으려면 소프트웨어를 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
Jmix is a set of libraries and tools to speed up Spring Boot data-centric application development. In versions 1.0.0 to 1.6.1 and 2.0.0 to 2.3.4, attackers could manipulate the FileRef parameter to access files on the system where the Jmix application is deployed, provided the application server has the necessary permissions. This can be accomplished either by modifying the FileRef directly in the database or by supplying a harmful value in the fileRef parameter of the `/files` endpoint of the generic REST API. This issue has been patched in versions 1.6.2 and 2.4.0. A workaround is provided on the Jmix documentation website.
📍 영향받는 시스템
Jmix versions 1.0.0 to 1.6.1 and 2.0.0 to 2.3.4
⚔️ 공격 벡터
FileRef 파라미터 조작을 통한 데이터베이스 수정 또는 REST API(/files) 호출
🛡️ 대응 방법
Jmix 버전을 1.6.2 또는 2.4.0 이상으로 업데이트하거나 공식 문서의 우회 방법을 적용
🔧 검증 코드
프로젝트 설정 파일에서 사용 중인 Jmix의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
grep -r "jmix" /path/to/your/project/build.gradle 2>/dev/null || grep -r "jmix" /path/to/your/project/pom.xml 2>/dev/null