🇰🇷 한글 설명
Goobi viewer는 디지털화된 자료를 웹 브라우저에서 표시하는 웹 애플리케이션입니다. 24.03 이상 26.05 미만 버전에서 ExternalFilesDownloader.getFilename()이 서버가 보낸 Content-Disposition 헤더의 파일명을 디렉터리 구성요소 제거 없이 Path.resolve()에 전달하여 임의 경로 쓰기가 가능하며, 이를 통해 tomcat 사용자 권한으로 원격 코드 실행이 가능합니다.
💡 쉬운 설명
악성 서버에서 파일을 다운로드할 때 저장 경로를 조작할 수 있는 취약점입니다. 공격자가 웹 서버 폴더에 악성 파일을 심어 원격으로 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 24.03 to before version 26.05, ExternalFilesDownloader.getFilename() extracts the destination filename from a server-supplied Content-Disposition response header and passes it directly to Path.resolve() without stripping directory components. This allows for a malicious HTTP server that the viewer fetches from to supply an absolute path or ../ traversal sequences as the filename, writing attacker-controlled content to an arbitrary path writable by the Tomcat process. When targeting the deployed web-application directory, this yields remote code execution as the tomcat OS user. This issue has been patched in version 26.05.
📍 영향받는 시스템
Goobi viewer 24.03 이상 26.05 미만 버전
⚔️ 공격 벡터
악성 HTTP 서버가 Content-Disposition 헤더에 절대경로 또는 ../ 경로를 포함시켜 Goobi viewer가 임의 위치에 파일을 쓰도록 유도
🛡️ 대응 방법
Goobi viewer를 26.05 이상 버전으로 업그레이드
🔧 검증 코드
출력된 파일명 또는 매니페스트의 버전을 확인하여 24.03 이상 26.05 미만이면 취약하며, 26.05 이상이면 패치된 상태입니다.
find / -name 'goobi*viewer*.war' -o -name 'goobi-viewer*.jar' 2>/dev/null | head -n 5
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server