🇰🇷 한글 설명
Apache Nutch Server의 REST API에서 권한 검증 누락 및 코드 주입 취약점이 발견되었습니다. 공격자가 외부 입력값을 통해 부적절하게 코드를 생성하거나 클래스를 선택할 수 있어 시스템 제어권을 탈취할 위험이 있습니다.
💡 쉬운 설명
해커가 허가 없이 서버에 명령을 내려 악성 코드를 실행할 수 있는 보안 구멍이 발견되었습니다. 이로 인해 서버의 중요한 데이터가 유출되거나 서버 자체가 해킹당할 수 있습니다.
🇺🇸 원문 (English)
Missing Authorization, Improper Control of Generation of Code ('Code Injection'), Improper Control of Dynamically-Managed Code Resources, Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') vulnerability in Apache Nutch Server (Nutch REST API).
This issue affects Apache Nutch: from 1.11 through 1.22.
Users are recommended to upgrade to version 1.23, which removes the Nutch Server.
If an upgrade is not possible, user must restrict access to instances running the Nutch Service to trusted users only.
Please, also visit the Apache Nutch security advisories https://nutch.apache.org/documentation/security/ .
📍 영향받는 시스템
Apache Nutch 1.11 ~ 1.22 버전
⚔️ 공격 벡터
REST API를 통해 조작된 외부 입력값을 전달하여 악성 코드를 주입하거나 부적절한 클래스를 호출함
🛡️ 대응 방법
Apache Nutch 1.23 버전으로 업그레이드하거나(Nutch Server 제거됨), 업그레이드가 불가능할 경우 신뢰할 수 있는 사용자만 서비스에 접근하도록 네트워크 접근을 제한함
🔧 검증 코드
명령어 실행 결과에 1.11에서 1.22 사이의 버전 번호가 나타나면 취약한 버전이 설치된 것입니다.
grep -r "Apache Nutch" /path/to/nutch/directory | grep -E '1\.(1[1-9]|2[0-2])'