🇰🇷 한글 설명
Apache Nutch Server(Nutch REST API)에서 권한 검증 누락 및 외부 제어 입력에 의한 안전하지 않은 리플렉션 취약점이 발견되었습니다. 이 취약점을 통해 공격자가 임의의 클래스나 코드를 실행할 수 있습니다.
💡 쉬운 설명
해커가 인증 없이 서버에 명령을 내려 프로그램의 핵심 코드를 마음대로 조작할 수 있는 위험한 상태입니다. 이를 통해 서버의 제어권을 완전히 빼앗길 수 있습니다.
🇺🇸 원문 (English)
Missing Authorization, Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') vulnerability in Apache Nutch Server (Nutch REST API).
This issue affects Apache Nutch: from 1.10 through 1.22.
Users are recommended to upgrade to version 1.23, which removes the Nutch Server.
If an upgrade is not possible, user must restrict access to instances running the Nutch Service to trusted users only.
Please, also visit the Apache Nutch security advisories https://nutch.apache.org/documentation/security/ .
📍 영향받는 시스템
Apache Nutch 1.10 ~ 1.22 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 REST API를 통해 조작된 입력을 전송하여 안전하지 않은 리플렉션 유도
🛡️ 대응 방법
Apache Nutch 1.23 버전으로 업그레이드하거나(Nutch Server 제거됨), 업그레이드가 불가능할 경우 신뢰할 수 있는 사용자만 서비스에 접근하도록 네트워크 제한
🔧 검증 코드
명령어 결과에 취약한 버전 범위(1.10~1.22)가 출력되면 해당 시스템은 취약한 상태입니다.
curl -s http://<target-ip>:<port>/api/version | grep -E '1\.(10|1[1-9]|2[0-2])'