🇰🇷 한글 설명
Apache Juneau는 java.lang.Class 타입의 속성에 값을 파싱할 때 기본 클래스 스왑 과정에서 클래스를 초기화 활성화 상태로 로드합니다. 이로 인해 애플리케이션 클래스패스에 있는 클래스 이름이 입력으로 주어지면 해당 클래스의 static 초기화 블록이 실행됩니다. 영향은 배포 환경에 존재하는 클래스에 따라 달라집니다. 9.2.0 이하 버전이 영향을 받으며, 9.2.1 버전으로 업그레이드하면 해결됩니다.
💡 쉬운 설명
Juneau라는 Java 라이브러리가 입력값을 처리할 때 공격자가 지정한 클래스의 초기화 코드를 실행시킬 수 있습니다. 이를 악용하면 서버에서 원치 않는 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
Improper control of dynamically-loaded code vulnerability in Apache Juneau.
When Apache Juneau parses a value into a property of type java.lang.Class (including parameterized forms), the default class swap loaded the named class with initialization enabled, so input naming a class on the application classpath ran that class's static initializer. The impact depends on the classes present in the deployment.
This issue affects Apache Juneau: through 9.2.0.
Users are recommended to upgrade to version 9.2.1, which fixes the issue.
📍 영향받는 시스템
Apache Juneau 9.2.0 이하 버전을 사용하는 Java 애플리케이션
⚔️ 공격 벡터
클래스 타입 속성에 애플리케이션 클래스패스상의 악성 또는 위험한 클래스명을 담은 입력값을 전달하여 static 초기화 코드를 실행
🛡️ 대응 방법
Apache Juneau를 9.2.1 이상 버전으로 업그레이드
🔧 검증 코드
출력된 Implementation-Version이 9.2.1 미만이면 취약한 버전이므로 업그레이드가 필요하고, 9.2.1 이상이거나 결과가 없으면 취약하지 않거나 해당 라이브러리가 없는 것입니다.
find / -name 'juneau*.jar' 2>/dev/null -exec sh -c 'unzip -p "$1" META-INF/MANIFEST.MF | grep -i implementation-version' _ {} \;
📊 CVSS Vector String
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
💻 영향받는 소프트웨어
TeamViewer Remote Control App