🇰🇷 한글 설명
openEQUELLA 2026.1.0 이전 버전에는 인증된 비게스트 사용자가 /invoker/* HTTP invoker 엔드포인트의 Java 역직렬화를 악용해 임의 코드를 실행할 수 있는 취약점이 있습니다. 공격자는 java.security.SignedObject 내부에 직렬화 페이로드를 중첩해 PluginAwareObjectInputStream의 클래스명 차단 목록을 우회하고, 최종적으로 JNDI 싱크에 도달해 코드 실행이 가능합니다.
💡 쉬운 설명
로그인한 일반 사용자가 특정 주소를 통해 서버에 악성 데이터를 보내 서버를 장악할 수 있는 취약점입니다. 보안 필터를 우회하는 방식이라 기존 차단 설정만으로는 막기 어렵습니다.
🇺🇸 원문 (English)
openEQUELLA before 2026.1.0 contains an authenticated remote code execution vulnerability that allows any authenticated non-guest user to execute arbitrary code by exploiting Java deserialization in the HTTP invoker endpoint at /invoker/*. Attackers can bypass the class-name denylist enforced by PluginAwareObjectInputStream by nesting a serialized payload inside a java.security.SignedObject, causing the inner stream to be deserialized by a separate ObjectInputStream that does not apply the denylist, ultimately reaching a JNDI sink and enabling code execution.
📍 영향받는 시스템
openEQUELLA 2026.1.0 미만 버전
⚔️ 공격 벡터
인증된 일반 사용자가 /invoker/* 엔드포인트에 SignedObject로 중첩한 악성 직렬화 페이로드를 전송해 JNDI를 통한 원격 코드 실행
🛡️ 대응 방법
openEQUELLA를 2026.1.0 이상으로 업그레이드하고, 업그레이드 전까지 /invoker/* 경로 접근을 관리자 등 신뢰된 대상으로 제한
🔧 검증 코드
출력된 버전 정보가 2026.1.0 미만이면 취약한 버전이므로 즉시 업그레이드가 필요하고, 2026.1.0 이상이면 패치된 것으로 판단합니다.
grep -ri 'version' /opt/equella/ 2>/dev/null | grep -Ei 'openequella|2026' | head -5