🇰🇷 한글 설명
Eclipse Milo 0.6.0부터 1.1.4 버전에서 OPC UA 서버 진단 노드에 대한 접근 권한 제어가 이루어지지 않는 취약점이 발견되었습니다. 익명 클라이언트가 인증 없이 진단 기능을 활성화하거나, 신뢰된 인증서를 가진 클라이언트가 다른 활성 세션의 보안 진단 정보를 읽어 사용자 이름, 로그인 기록, 인증 메커니즘 등을 노출할 수 있습니다.
💡 쉬운 설명
서버의 상태를 점검하는 진단 기능에 아무나 접근할 수 있어 보안 정보가 유출될 수 있는 문제입니다. 공격자가 이를 통해 다른 사용자의 로그인 기록이나 아이디 같은 민감한 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
In Eclipse Milo versions 0.6.0 through 1.1.4, OPC UA server diagnostics nodes do not enforce access authorization. An anonymous client can enable diagnostics over a None/None endpoint without a certificate; with a trusted client application certificate over SignAndEncrypt, it can read security diagnostics for other active sessions, exposing usernames, login history, authentication mechanisms, security modes and policies, and public client certificates.
📍 영향받는 시스템
Eclipse Milo versions 0.6.0 through 1.1.4
⚔️ 공격 벡터
인증되지 않은 익명 접속 또는 신뢰된 인증서를 이용한 진단 노드 접근을 통한 정보 탈취
🛡️ 대응 방법
Eclipse Milo를 취약점이 해결된 최신 버전으로 업데이트하고, 진단 노드에 대한 엄격한 접근 권한 설정을 적용하십시오.
🔧 검증 코드
출력된 결과에서 eclipse-milo의 버전이 0.6.0에서 1.1.4 사이인지 확인하십시오.
mvn dependency:tree | grep 'org.eclipse.milo' -A 1
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server