🇰🇷 한글 설명
Apache Juneau REST 서버가 모든 오류 응답의 "Thrown" 헤더에 내부 예외 클래스명과 메시지를 포함해 클라이언트에 전송합니다. 스택 트레이스 렌더링을 꺼도 오류 본문에 내부 예외 메시지가 포함될 수 있어 구현 세부사항이 노출됩니다. 9.2.0 이하 버전이 영향을 받으며 9.2.1 이상으로 업그레이드하면 해결됩니다.
💡 쉬운 설명
서버에 오류가 생기면 내부 동작을 설명하는 상세 정보가 외부 사용자에게도 보입니다. 공격자는 이 정보를 이용해 시스템 구조를 파악하고 다음 공격을 준비할 수 있습니다.
🇺🇸 원문 (English)
Generation of Error Message Containing Sensitive Information vulnerability in Apache Juneau.
The REST server sends the internal exception class and message to clients in a "Thrown" response header on every error response, and can include internal exception messages in the error body, even when stack-trace rendering is disabled. This reveals implementation details to remote clients.
This issue affects Apache Juneau: through 9.2.0.
Users are recommended to upgrade to version 9.2.1, which fixes the issue.
📍 영향받는 시스템
Apache Juneau 9.2.0 이하 버전을 사용하는 REST 서버
⚔️ 공격 벡터
원격 공격자가 잘못된 요청을 보내 오류를 유발한 뒤, 응답 헤더와 본문에서 내부 예외 클래스와 메시지를 수집합니다.
🛡️ 대응 방법
Apache Juneau를 9.2.1 이상으로 업그레이드합니다.
🔧 검증 코드
출력된 jar 파일명의 버전 번호가 9.2.1 미만이면 취약하며, 결과가 없으면 이 컴퓨터에 Juneau 라이브러리가 설치되어 있지 않은 것입니다.
find / -name 'juneau*.jar' 2>/dev/null | head -n 5