🇰🇷 한글 설명
Apache Lucy의 모든 버전에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 발견되었습니다. 이 프로젝트는 현재 은퇴(Retired) 상태이므로 공식적인 보안 패치가 제공되지 않습니다.
💡 쉬운 설명
해커가 조작된 데이터를 보내 시스템이 이를 잘못 해석하게 만들어 공격할 수 있는 문제입니다. 현재 이 프로그램은 관리가 중단되었으므로 주의가 필요합니다.
🇺🇸 원문 (English)
** UNSUPPORTED WHEN ASSIGNED ** Deserialization of Untrusted Data vulnerability in Apache Lucy.
This issue affects Apache Lucy: all versions.
As this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative or restrict access to the instance to trusted users.
Lucy is now maintained outside of the ASF at https://github.com/lucysearch . 0.8.0 is no longer affected by this issue, because the offending feature has been removed there.
NOTE: This vulnerability only affects products that are no longer supported by the maintainer.
📍 영향받는 시스템
Apache Lucy 모든 버전 (단, lucysearch의 0.8.0 버전은 제외)
⚔️ 공격 벡터
신뢰할 수 없는 외부 데이터를 역직렬화 프로세스에 주입하여 원격 코드 실행 유도
🛡️ 대응 방법
Lucy를 대체할 다른 라이브러리로 전환하거나, 접근 권한을 신뢰할 수 있는 사용자에게만 제한하십시오.
🔧 검증 코드
명령어 결과에 lucy 관련 패키지가 나타나면 해당 취약점에 노출되었을 가능성이 있습니다.
dpkg -l | grep lucy 2>/dev/null || rpm -qa | grep lucy 2>/dev/null