🇰🇷 한글 설명
Apache Jackrabbit Core 및 Apache Jackrabbit JCR Commons에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 발견되었습니다. 공격자가 악성 JNDI 참조를 주입할 경우 임의의 코드가 실행될 수 있습니다.
💡 쉬운 설명
프로그램이 외부에서 들어온 데이터를 처리하는 과정에서 검증되지 않은 명령어를 실행할 수 있는 보안 약점입니다. 해커가 조작된 주소를 보내면 컴퓨터가 해커의 명령을 대신 수행하게 될 위험이 있습니다.
🇺🇸 원문 (English)
Deserialization of Untrusted Data vulnerability in Apache Jackrabbit Core and Apache Jackrabbit JCR Commons.
This issue affects Apache Jackrabbit Core: from 1.0.0 through 2.22.1; Apache Jackrabbit JCR Commons: from 1.0.0 through 2.22.1.
Deployments that accept JNDI URIs for JCR lookup from untrusted users allows them to inject malicious JNDI references, potentially leading to arbitrary code execution through deserialization of untrusted data.
Users are recommended to upgrade to version 2.22.2. JCR lookup through JNDI has been disabled by default in 2.22.2. Users of this feature need to enable it explicitly and are adviced to review their use of JNDI URI for JCR lookup.
📍 영향받는 시스템
Apache Jackrabbit Core (1.0.0 ~ 2.22.1), Apache Jackrabbit JCR Commons (1.0.0 ~ 2.22.1)
⚔️ 공격 벡터
신뢰할 수 없는 사용자가 JCR 조회를 위해 악성 JNDI URI를 주입하여 공격
🛡️ 대응 방법
Apache Jackrabbit을 2.22.2 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 결과에서 Jackrabbit 관련 라이브러리의 버전이 2.22.2 미만인지 확인하십시오.
find / -name "*jackrabbit*" 2>/dev/null | xargs grep -E "version" 2>/dev/null || echo "Package not found"