🇰🇷 한글 설명
AWS Advanced JDBC Wrapper 3.3.0부터 4.2.0 버전의 RemoteQueryCachePlugin에서 XML 외부 엔티티(XXE) 참조 제한이 부적절하게 이루어지는 취약점이 발견되었습니다. 공유 캐시 인프라에 쓰기 권한이 있는 공격자가 조작된 XML 데이터를 캐시된 컬럼 값에 삽입함으로써, 캐시된 쿼리 결과를 읽는 애플리케이션 호스트의 데이터베이스 및 IAM 역할 자격 증명과 같은 민감한 파일을 유출할 수 있습니다.
💡 쉬운 설명
공격자가 캐시 저장소에 특수하게 조작된 데이터를 몰래 넣어두면, 이를 읽어가는 서버의 중요한 비밀번호나 권한 정보를 훔쳐갈 수 있는 문제입니다. 마치 누군가 공용 게시판에 가짜 정보를 적어두어, 그 정보를 읽는 사람이 실수로 자신의 비밀번호를 노출하게 만드는 것과 비슷합니다.
🇺🇸 원문 (English)
Improper restriction of XML external entity references in the RemoteQueryCachePlugin in AWS Advanced JDBC Wrapper 3.3.0 through 4.2.0 might allow an actor with write access to the shared cache infrastructure to disclose sensitive files from application hosts that read cached query results, including stored database and IAM role credentials, via crafted XML data in a cached column value.
To remediate this issue, users should upgrade to version 4.3.0 or later.
📍 영향받는 시스템
AWS Advanced JDBC Wrapper 3.3.0 ~ 4.2.0
⚔️ 공격 벡터
공유 캐시 인프라에 쓰기 권한을 이용해 조작된 XML 데이터를 캐시 컬럼 값으로 삽입하여 XXE 공격 수행
🛡️ 대응 방법
AWS Advanced JDBC Wrapper를 4.3.0 또는 그 이상의 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 결과에서 라이브러리 버전이 4.3.0 미만(3.3.0~4.2.0)인지 확인하십시오.
grep -r "AWS Advanced JDBC Wrapper" /path/to/your/project/dependencies/ | grep -E 'version' || echo 'Not found'