🇰🇷 한글 설명
Ladybug 라이브러리의 특정 API(/iaf/ladybug/api/report/upload 등)에서 사용자 제어가 가능한 XML 파일을 업로드할 수 있는 취약점이 발견되었습니다. 공격자가 정교하게 조작된 gzip 압축 XML 파일을 업로드하여 시스템의 역직렬화 과정을 악용할 경우, 원격 코드 실행(RCE)을 통해 대상 서버에 대한 권한을 획득할 수 있습니다.
💡 쉬운 설명
해커가 조작된 파일을 서버에 업로드하여 서버가 마음대로 명령을 실행하게 만드는 보안 구멍입니다. 이로 인해 해커가 서버를 완전히 장악할 위험이 있습니다.
🇺🇸 원문 (English)
Ladybug adds message-based debugging, unit, system, and regression testing to Java applications. Versions prior to 3.0-20251107.114628 contain the APIs /iaf/ladybug/api/report/{storage} and /iaf/ladybug/api/report/upload, which allow uploading gzip-compressed XML files with user-controllable content. The system deserializes these XML files, enabling attackers to achieve Remote Code Execution (RCE) by submitting carefully crafted XML payloads and thereby gain access to the target server. This issue is fixed in version 3.0-20251107.114628.
📍 영향받는 시스템
Ladybug versions prior to 3.0-20251107.114628
⚔️ 공격 벡터
조작된 XML 파일이 포함된 gzip 압축 파일을 특정 API 엔드포인트로 업로드하여 역직렬화 취약점 악용
🛡️ 대응 방법
Ladybug 라이브러리를 버전 3.0-20251107.114628 이상으로 업데이트하십시오.
🔧 검증 코드
프로젝트 설정 파일에서 Ladybug 라이브러리의 버전을 확인하여 3.0-20251107.114628 미만인지 확인합니다.
grep -r "ladybug" /path/to/your/project/pom.xml || grep -r "ladybug" /path/to/your/project/build.gradle
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:L
💻 영향받는 소프트웨어
IBM WebSphere Application Server