🇰🇷 한글 설명
Dataease는 오픈 소스 데이터 시각화 분석 도구입니다. 2.10.17 미만 버전에서 JNDI 인젝션 취약점이 발견되었으며, 이전 패치에서 블랙리스트를 추가했음에도 불구하고 iiop, corbaname, iiopname 스킴을 통해 공격이 가능합니다. 이 취약점은 2.10.17 버전에서 수정되었습니다.
💡 쉬운 설명
데이터 시각화 도구인 Dataease의 특정 버전에서 해커가 원격으로 악성 명령을 실행할 수 있는 보안 구멍이 발견되었습니다. 공격자는 특수한 주소 형식을 사용하여 시스템의 통제권을 탈취할 수 있습니다.
🇺🇸 원문 (English)
Dataease is an open source data visualization analysis tool. Versions prior to 2.10.17 are vulnerable to JNDI injection. A blacklist was added in the patch for version 2.10.14. However, JNDI injection remains possible via the iiop, corbaname, and iiopname schemes. The vulnerability has been fixed in version 2.10.17.
📍 영향받는 시스템
Dataease 2.10.17 미만 모든 버전
⚔️ 공격 벡터
iiop, corbaname, iiopname 스킴을 이용한 JNDI 인젝션 공격
🛡️ 대응 방법
Dataease를 최신 보안 패치가 적용된 2.10.17 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 2.10.17 미만인 경우 해당 취약점에 노출된 상태입니다.
curl -s http://<target_ip>:<port>/version | grep -E '2.10\.[0-9]+'