🇰🇷 한글 설명
DSpace 오픈 소스 소프트웨어의 COAR Notify/LDN 메시지 처리 과정에서 사용되는 Velocity 템플릿을 통해 원격 코드 실행(RCE)이 가능합니다. 이 취약점은 특정 버전 범위에서 발생하며, 공격자가 시스템 권한을 탈취할 수 있는 위험이 있습니다.
💡 쉬운 설명
DSpace라는 디지털 저장소 프로그램의 특정 기능을 이용해 해커가 멀리 떨어진 곳에서 내 컴퓨터를 마음대로 조종할 수 있는 보안 구멍이 발견되었습니다. 이 문제를 해결하려면 프로그램을 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
DSpace open source software is a repository application which provides durable access to digital resources. From versions 8.0-rc1 to before 8.4, versions 9.0-rc1 to before 9.3, and version 10-rc1, Remote Code Execution (RCE) is possible via Velocity Templates used by DSpace for COAR Notify/LDN messages. This issue has been patched in versions 8.4, 9.3, and 10.0.
📍 영향받는 시스템
DSpace 8.0-rc1 ~ 8.4 미만, 9.0-rc1 ~ 9.3 미만, 10-rc1 버전
⚔️ 공격 벡터
COAR Notify/LDN 메시지에 포함된 Velocity 템플릿을 악용한 원격 코드 실행
🛡️ 대응 방법
DSpace를 8.4, 9.3 또는 10.0 이상의 패치된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 DSpace의 버전을 확인하여 취약한 버전 범위(8.0-rc1~8.4 미만 등)에 해당하는지 대조하십시오.
dpkg -l | grep dspace 2>/dev/null || rpm -qa | grep dspace 2>/dev/null || echo 'Check DSpace installation version manually'