🇰🇷 한글 설명
오픈 소스 데이터 시각화 분석 도구인 DataEase 2.10.14 이하 버전에서 Oracle JDBC 연결 설정 시 필터링이 미흡하여 JNDI 인젝션 취약점이 발생합니다. 이 취약점을 통해 공격자는 원격 코드 실행(RCE)을 시도할 수 있습니다. 해당 문제는 2.10.15 버전에서 수정되었습니다.
💡 쉬운 설명
데이터 시각화 도구인 DataEase에서 데이터베이스를 연결할 때 보안 검사가 제대로 이루어지지 않는 문제입니다. 이를 통해 해커가 악성 명령어를 몰래 심어 시스템을 원격으로 조종할 위험이 있습니다.
🇺🇸 원문 (English)
Dataease is an open source data visualization analysis tool. In versions 2.10.14 and below, DataEase did not properly filter when establishing JDBC connections to Oracle, resulting in a risk of JNDI injection (Java Naming and Directory Interface injection). This issue is fixed in version 2.10.15.
📍 영향받는 시스템
DataEase 2.10.14 및 그 이하 모든 버전
⚔️ 공격 벡터
Oracle JDBC 연결 설정 시 조작된 JNDI 경로를 주입하여 원격 코드 실행
🛡️ 대응 방법
DataEase를 최신 보안 패치가 적용된 2.10.15 버전 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 2.10.14 이하의 버전 번호가 나타나면 취약한 상태이며, 2.10.15 이상이어야 안전합니다.
curl -s http://<target_ip>:<port>/version | grep -E '2.10.1[0-4]'