🇰🇷 한글 설명
Apache Axis2/Java의 Tribes 기반 클러스터링 구성 요소에서 신뢰할 수 없는 데이터의 역직렬화(CWE-502) 취약점이 발견되었습니다. 공격자가 클러스터링 포트로 조작된 Java 객체를 전송하면 인증 없이 원격에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
해커가 특수하게 만들어진 가짜 데이터를 보내 서버가 이를 읽는 과정에서 서버의 제어권을 탈취할 수 있는 문제입니다. 클러스터링 기능이 켜져 있을 때만 발생하며, 매우 위험한 수준의 보안 결함입니다.
🇺🇸 원문 (English)
Deserialization of Untrusted Data (CWE-502) in the Tribes-based clustering component
in Apache Software Foundation Apache Axis2/Java through 2.0.0 on Apache Tomcat
(only when Tribes clustering is enabled, which is off by default) allows an
unauthenticated remote attacker with network access to the clustering port to
execute arbitrary code via a crafted serialized Java object delivered to the cluster
channel and deserialized in
org.apache.axis2.clustering.tribes.Axis2ChannelListener#messageReceived. Users are
recommended to upgrade to version 2.0.1, which fixes this issue by removing the
clustering feature entirely.
📍 영향받는 시스템
Apache Axis2/Java 2.0.0 이하 버전 (Apache Tomcat 환경에서 Tribes 클러스터링 활성화 시)
⚔️ 공격 벡터
네트워크를 통해 클러스터링 포트로 조작된 직렬화된 Java 객체를 전송하여 원격 코드 실행
🛡️ 대응 방법
클러스터링 기능을 비활성화하거나, 해당 기능이 제거된 버전인 2.0.1 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 Apache Axis2 버전을 확인하여 2.0.1 미만인지 확인합니다.
java -jar axis2-client-*.jar --version 2>/dev/null || echo 'Check axis2 version manually'