🇰🇷 한글 설명
armeria-xds 1.38.0부터 1.39.0 버전 사이의 DataSourceStream에서 제어 평면(control-plane)이 제공하는 파일 이름과 환경 변수를 제한 없이 해석하는 취약점이 발견되었습니다. 이를 통해 공격받았거나 신뢰할 수 없는 xDS 제어 평면이 xDS 클라이언트 호스트의 임의 로컬 파일 및 환경 변수를 읽을 수 있습니다.
💡 쉬운 설명
외부에서 보내주는 파일 경로를 검증 없이 그대로 읽어버리는 보안 결함입니다. 이로 인해 해커가 서버에 저장된 중요한 파일이나 비밀번호 같은 환경 변수를 몰래 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
A vulnerability has been identified in armeria-xds versions 1.38.0 through 1.39.0, where DataSourceStream in the xDS module can resolve control-plane-supplied filenames and environment variables without restriction, allowing a compromised or semi-trusted xDS control plane to read arbitrary local files and environment variables on the xDS client host.
📍 영향받는 시스템
armeria-xds versions 1.38.0 through 1.39.0
⚔️ 공격 벡터
신뢰할 수 없는 xDS 제어 평면이 악의적인 파일 경로 또는 환경 변수 이름을 전달하여 클라이언트의 파일을 읽음
🛡️ 대응 방법
armeria-xds를 취약점이 해결된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 armeria-xds의 버전이 1.38.0에서 1.39.0 사이인지 확인합니다.
mvn dependency:list | grep armeria-xds