🇰🇷 한글 설명
Goobi viewer의 REST 엔드포인트인 /api/v1/index/stream에서 인증되지 않은 사용자가 임의의 Solr 스트리밍 표현식을 전송할 수 있는 취약점입니다. 공격자는 이를 통해 전체 Solr 인덱스를 읽거나, 기본 설정 상태의 Solr 서버에서 인덱스된 레코드를 수정 또는 삭제할 수 있습니다.
💡 쉬운 설명
웹 애플리케이션의 특정 통로를 통해 누구나 데이터베이스 명령어를 마음대로 보낼 수 있는 보안 구멍이 발견되었습니다. 이를 통해 해커가 저장된 모든 정보를 훔쳐보거나 중요한 데이터를 마음대로 지울 수 있습니다.
🇺🇸 원문 (English)
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From 4.8.0 to before 26.04.1, the Goobi viewer REST endpoint POST /api/v1/index/stream accepted an arbitrary Solr streaming expression from unauthenticated network clients and forwarded it to the backend Solr server without restriction. An attacker could read the complete Solr index and, in default Solr deployments, also modify or delete indexed records. This vulnerability is fixed in 26.04.1.
📍 영향받는 시스템
Goobi viewer 4.8.0 버전부터 26.04.1 미만 버전
⚔️ 공격 벡터
인증되지 않은 네트워크 클라이언트가 REST API 엔드포인트에 악의적인 Solr 스트리밍 표현식을 POST 요청으로 전송
🛡️ 대응 방법
Goobi viewer를 최신 보안 패치가 적용된 26.04.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
Goobi viewer의 현재 설치 버전을 확인하여 26.04.1 미만인지 확인하십시오.
curl -s -I http://<target_ip>/api/v1/index/stream | grep -i 'version' || echo 'Check Goobi version manually'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server