🇰🇷 한글 설명
QOS.CH Sarl의 logback-core 내 HardenedObjectInputStream 모듈에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 발견되었습니다. 공격자가 SimpleSocketServer 또는 SimpleSSLSocketServer로 전송되는 직렬화된 데이터를 조작할 경우 Proxy 객체를 생성할 수 있습니다. 비록 보안 제한으로 인해 원격 코드 실행(RCE) 가능성은 낮으나, 설계된 보안 제한을 우회할 수 있는 위험이 있습니다.
💡 쉬운 설명
프로그램이 데이터를 읽어오는 과정에서 보안 규칙을 우회하여 가짜 객체를 만들어낼 수 있는 결함입니다. 당장 컴퓨터를 해킹하기는 어렵지만, 보안 방어벽에 구멍이 뚫린 상태라고 이해할 수 있습니다.
🇺🇸 원문 (English)
Deserialization of untrusted data vulnerability in QOS.CH Sarl logback logback-core (HardenedObjectInputStream (logback-core) modules) allows Object Injection, albeit heavily restricted.
More precisely, an attacker able to influence serialized data sent to
SimpleSocketServer or SimpleSSLSocketServer can instantiate Proxy objects.
Although deserialization is heavily restricted by HardenedObjectInputStream and no
practical way to achieve remote code execution or significant privilege
escalation has been identified, this issue constitutes a bypass of the
intended security restrictions.
This issue affects logback: through 1.5.33 inclusive.
📍 영향받는 시스템
logback 1.5.33 및 그 이전 버전
⚔️ 공격 벡터
SimpleSocketServer 또는 SimpleSSLSocketServer로 조작된 직렬화 데이터를 전송하여 Proxy 객체 생성 유도
🛡️ 대응 방법
logback 라이브러리를 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 logback-core의 버전을 확인하여 1.5.33 이하인지 점검하십시오.
mvn dependency:tree | grep logback-core