🇰🇷 한글 설명
Eclipse RDF4J의 여러 XML 파서 진입점에서 XML 외부 엔티티(XXE) 처리를 완전히 제한하지 못하는 취약점이 발견되었습니다. 이로 인해 신뢰할 수 없는 XML 기반 RDF 데이터나 쿼리 결과를 처리할 때 DOCTYPE 선언 및 외부 엔티티 참조가 허용될 수 있습니다. 해당 문제는 RDF4J 5.3.2 버전에서 DOCTYPE 및 외부 엔티티 로딩을 기본적으로 차단함으로써 해결되었습니다.
💡 쉬운 설명
RDF4J라는 프로그램이 외부에서 받은 XML 파일을 읽을 때, 악의적으로 조작된 외부 정보를 불러오도록 허용하는 보안 약점이 있습니다. 이를 통해 공격자가 서버의 내부 파일을 훔쳐보거나 시스템에 영향을 줄 수 있습니다.
🇺🇸 원문 (English)
In Eclipse RDF4J, several XML parser entry points do not fully restrict XML External Entity (XXE) processing when parsing untrusted XML-based RDF data or query results, permitting DOCTYPE declarations, external entity references, and external DTD loading. This is due to an incomplete fix for CVE-2018-1000644: the earlier fix did not cover all parser entry points. The issue is resolved in RDF4J 5.3.2, which rejects or disables DOCTYPE declarations, external entities, and external DTD loading by default.
📍 영향받는 시스템
Eclipse RDF4J 5.3.2 미만 버전
⚔️ 공격 벡터
공격자가 조작된 XML 기반 RDF 데이터 또는 쿼리 결과를 시스템에 입력하여 XXE 공격 수행
🛡️ 대응 방법
RDF4J를 최신 보안 패치가 적용된 5.3.2 버전 이상으로 업데이트
🔧 검증 코드
출력된 의존성 목록에서 rdf4j의 버전을 확인하여 5.3.2 미만인지 체크
mvn dependency:tree | grep -E 'rdf4j'