🇰🇷 한글 설명
XWiki 플랫폼의 REST API 엔드포인트에서 쿼리 제한이 적용되지 않아 발생하는 리소스 고갈 취약점입니다. 대규모 위키 환경에서 특정 API 호출 시 모든 페이지 목록을 메타데이터로 불러오려 시도하여 서버 자원을 모두 소모할 수 있습니다.
💡 쉬운 설명
서버에 너무 많은 정보를 한꺼번에 요청하여 서버를 느리게 만들거나 멈추게 할 수 있는 문제입니다. 마치 도서관의 모든 책 목록을 한 번에 다 보여달라고 요청하여 도서관 시스템을 마비시키는 것과 같습니다.
🇺🇸 원문 (English)
XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Versions 1.8-rc-1, 17.0.0-rc-1 and 17.5.0-rc-1 and prior include a resource exhaustion vulnerability in REST API endpoints such as /xwiki/rest/wikis/xwiki/spaces/AnnotationCode/pages/AnnotationConfig/objects/AnnotationCode.AnnotationConfig/0/properties, which list all available pages as part of the metadata for database list properties without applying query limits. On large wikis, this can exhaust available server resources. This issue has been patched in versions 16.10.16, 17.4.8 and 17.10.1.
📍 영향받는 시스템
XWiki Platform 1.8-rc-1, 17.0.0-rc-1, 17.5.0-rc-1 및 이전 버전
⚔️ 공격 벡터
제한 없는 쿼리 요청을 포함한 특정 REST API 엔드포인트 호출을 통한 서비스 거부(DoS)
🛡️ 대응 방법
XWiki를 버전 16.10.16, 17.4.8 또는 17.10.1 이상으로 업데이트하십시오.
🔧 검증 코드
API 호출 시 응답 속도가 극도로 느려지거나 서버 응답이 없을 경우 취약할 가능성이 높습니다.
curl -s http://<target_ip>/xwiki/rest/wikis/xwiki/spaces/AnnotationCode/pages/AnnotationConfig/objects/AnnotationCode.AnnotationConfig/0/properties | grep -i 'error'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server