🇰🇷 한글 설명
DSpace 오픈소스 소프트웨어의 OAI-ORE Harvester를 통해 URI 기반의 통합 ORE 리소스를 수집할 때, ORE Ingestion Crosswalk가 URI 스킴을 검증하지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 악의적인 경로(예: file:///etc/passwd)를 사용하여 로컬 파일 포함(LFI) 공격을 수행할 수 있습니다. 이 공격을 수행하려면 공격자는 반드시 DSpace 컬렉션 관리자 권한을 보유해야 합니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 특수한 주소를 입력하여 서버 내부의 중요한 파일을 몰래 읽어낼 수 있는 보안 결함입니다. 시스템의 설정 파일이나 비밀번호 파일이 유출될 위험이 있습니다.
🇺🇸 원문 (English)
DSpace open source software is a repository application which provides durable access to digital resources. Prior to versions 7.6.7, 8.4, 9.3, and 10.0, when ingesting an aggregated ORE resource by URI (using the OAI-ORE Harvester), the ORE Ingestion Crosswalk does not validate the URI scheme. This may allow for local file inclusion via malicious paths like file:///etc/passwd. The attacker MUST already have DSpace collection administrator privileges in order to perform the attack. This issue has been patched in versions 7.6.7, 8.4, 9.3, and 10.0.
📍 영향받는 시스템
DSpace 버전 7.6.7, 8.4, 9.3, 10.0 미만 버전
⚔️ 공격 벡터
컬렉션 관리자 권한을 이용한 악의적인 URI 스킴(file://)을 포함한 ORE 리소스 수집
🛡️ 대응 방법
DSpace를 최신 패치 버전(7.6.7, 8.4, 9.3, 10.0 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 패치된 버전(7.6.7, 8.4, 9.3, 10.0 이상)인지 확인하십시오. 'Vulnerable'이 출력되면 취약한 상태입니다.
echo $DSPACE_VERSION | grep -E '^(7(\.([0-9]+){0,2})?|8(\.([0-9]+){0,2})?|9(\.([0-9]+){0,2})?|10(\.([0-9]+){0,2})?)$' || echo 'Vulnerable or Unknown'