🇰🇷 한글 설명
Oracle Java SE의 Scripting 컴포넌트에 존재하는 취약점입니다. 네트워크를 통해 인증되지 않은 공격자가 복잡도 높은 조건에서 악용할 수 있으며, 성공 시 중요 데이터의 무단 생성·삭제·변경 및 접근이 가능합니다. 샌드박스 환경의 Java Web Start 애플리케이션이나 Java 애플릿도 영향을 받을 수 있습니다.
💡 쉬운 설명
자바(Java) 프로그램의 스크립팅 기능에 결함이 있어, 외부 공격자가 네트워크를 통해 중요한 정보를 열람하거나 변경할 수 있습니다. 인터넷에서 받은 신뢰할 수 없는 코드를 실행하는 자바 프로그램이라면 특히 주의가 필요합니다.
🇺🇸 원문 (English)
Vulnerability in Oracle Java SE (component: Scripting). Supported versions that are affected are Oracle Java SE: 8u491, 8u491-perf and 11.0.31. Difficult to exploit vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE. Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle Java SE accessible data as well as unauthorized access to critical data or complete access to all Oracle Java SE accessible data. Note: This vulnerability can be exploited by using APIs in the specified Component, e.g., through a web service which supplies data to the APIs. This vulnerability also applies to Java deployments, typically in clients running sandboxed Java Web Start applications or sandboxed Java applets, that load and run untrusted code (e.g., code that comes from the internet) and rely on the Java sandbox for security. CVSS 3.1 Base Score 7.4 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N).
📍 영향받는 시스템
Oracle Java SE 8u491, 8u491-perf, 11.0.31 이하 버전
⚔️ 공격 벡터
네트워크를 통해 여러 프로토콜로 접근한 인증되지 않은 공격자가 Scripting API를 악용하거나, 신뢰할 수 없는 코드를 샌드박스 Java 애플리케이션/애플릿에서 실행시켜 공격
🛡️ 대응 방법
Oracle 보안 패치(Critical Patch Update)를 적용하여 Java SE를 최신 보안 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 8u491(또는 8u491-perf) 또는 11.0.31 이하이면 취약하므로 Oracle 최신 패치 버전으로 업데이트가 필요하며, 그 이후 버전이면 패치가 적용된 것입니다.
java -version 2>&1 | head -n 1