🇰🇷 한글 설명
openEQUELLA 2026.1 이전 버전에서 아이템 메타데이터 처리에 사용되는 XML 파서가 외부 엔티티(XXE) 해석을 비활성화하지 않습니다. 아이템 생성 권한(CREATE_ITEM)을 가진 사용자가 조작된 XML을 POST /api/item으로 전송하면 서버가 접근 가능한 임의의 파일을 읽거나 공격자가 지정한 위치로 요청을 보낼 수 있으며, 클라우드 인스턴스 메타데이터 서비스까지 노출될 수 있습니다.
💡 쉬운 설명
아이템을 만들 수 있는 사용자가 특수하게 작성된 XML 파일을 보내면 서버 안의 파일 내용을 몰래 읽을 수 있습니다. 이를 이용해 서버 내부 네트워크나 클라우드 설정 정보에도 접근될 수 있습니다.
🇺🇸 원문 (English)
In openEQUELLA before 2026.1, the XML parser used for item metadata does not disable external entity resolution. A user permitted to create items (CREATE_ITEM) can submit crafted XML to POST /api/item and cause the server to read arbitrary files accessible to the openEQUELLA service, or make requests to attacker-specified locations (SSRF), including cloud instance metadata services.
📍 영향받는 시스템
openEQUELLA 2026.1 이전 버전
⚔️ 공격 벡터
CREATE_ITEM 권한을 가진 사용자가 POST /api/item 엔드포인트에 외부 엔티티를 포함한 조작된 XML을 전송
🛡️ 대응 방법
openEQUELLA 2026.1 이상으로 업데이트하고, 임시 조치로 아이템 생성 권한을 신뢰된 사용자로 제한하며 XML 파서의 외부 엔티티 처리를 비활성화
🔧 검증 코드
설치 경로가 출력되면 해당 디렉터리의 버전 정보(예: 릴리스 파일 또는 관리 콘솔)에서 2026.1 미만인지 확인하고, 아무것도 출력되지 않으면 openEQUELLA가 설치되어 있지 않은 것입니다.
find / -iname '*equella*' -maxdepth 4 2>/dev/null | head -5