🇰🇷 한글 설명
Apache SIS에서 XML 외부 엔티티(XXE) 참조 제한이 부적절하게 이루어져 발생하는 취약점입니다. 공격자가 조작된 XML 파일을 통해 서버 내의 로컬 파일을 탈취할 수 있습니다.
💡 쉬운 설명
악의적으로 만들어진 XML 파일을 시스템이 읽을 때, 서버 안에 숨겨진 중요한 파일을 몰래 훔쳐볼 수 있는 보안 약점입니다. 지도 데이터나 위치 정보 파일을 처리하는 과정에서 발생할 수 있습니다.
🇺🇸 원문 (English)
Improper Restriction of XML External Entity Reference vulnerability in Apache SIS.
It is possible to write XML files in such a way that, when parsed by Apache SIS, an XML file reveals to the attacker the content of a local file on the server running Apache SIS. This vulnerability impacts the following SIS services:
* Reading of GeoTIFF files having the GEO_METADATA tag defined by the Defense Geospatial Information Working Group (DGIWG).
* Parsing of ISO 19115 metadata in XML format.
* Parsing of Coordinate Reference Systems defined in the GML format.
* Parsing of files in GPS Exchange Format (GPX).
This issue affects Apache SIS from versions 0.4 through 1.5 inclusive. Users are recommended to upgrade to version 1.6, which will fix the issue. In the meantime, the security vulnerability can be avoided by launching Java with the javax.xml.accessExternalDTD system property sets to a comma-separated list of authorized protocols. For example:
java -Djavax.xml.accessExternalDTD="" ...
📍 영향받는 시스템
Apache SIS 버전 0.4부터 1.5까지 포함
⚔️ 공격 벡터
DGIWG GeoTIFF, ISO 19115, GML, GPX 형식의 XML 데이터를 포함한 파일을 파싱하도록 유도하여 로컬 파일 내용을 탈취
🛡️ 대응 방법
Apache SIS를 1.6 버전 이상으로 업그레이드하거나, Java 실행 시 javax.xml.accessExternalDTD 속성을 빈 값으로 설정하여 외부 DTD 접근을 차단
🔧 검증 코드
출력된 버전이 0.4에서 1.5 사이라면 취약한 상태이며, 1.6 이상이면 안전합니다.
java -cp apache-sis.jar org.apache.sis.internal.version.VersionFinder 2>/dev/null || echo 'Version check required via build tool'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
Microsoft Exchange Server