🇰🇷 한글 설명
Oracle Java SE의 RMI 컴포넌트에 존재하는 취약점으로, 8u503 및 8u503-perf, Oracle GraalVM Enterprise Edition 21.3.19.1.1 버전에 영향을 줍니다. 네트워크를 통해 인증되지 않은 공격자가 악용할 수 있으며, 신뢰되지 않은 Java Web Start 애플리케이션이나 Applet 없이 API에 조작된 데이터를 전달하는 방식으로 공격이 가능합니다. 성공 시 일부 데이터의 무단 변경 및 조회가 발생할 수 있습니다.
💡 쉬운 설명
Java 프로그램이 외부에서 보내온 데이터를 처리하는 과정에 약점이 있어, 악의적인 사람이 이를 이용해 일부 정보를 몰래 보거나 바꿀 수 있습니다. 다행히 공격이 어렵고 시스템을 완전히 멈추게 하지는 않습니다.
🇺🇸 원문 (English)
Vulnerability in Oracle Java SE (component: RMI). Supported versions that are affected are Oracle Java SE: 8u503 and 8u503-perf; Oracle GraalVM Enterprise Edition: 21.3.19.1.1. Difficult to exploit vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE. While the vulnerability is in Oracle Java SE, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized update, insert or delete access to some of Oracle Java SE accessible data as well as unauthorized read access to a subset of Oracle Java SE accessible data. Note: This vulnerability can only be exploited by supplying data to APIs in the specified Component without using Untrusted Java Web Start applications or Untrusted Java applets, such as through a web service. CVSS 3.1 Base Score 5.4 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N).
📍 영향받는 시스템
Oracle Java SE 8u503, 8u503-perf 및 Oracle GraalVM Enterprise Edition 21.3.19.1.1
⚔️ 공격 벡터
네트워크로 접근 가능한 공격자가 RMI 관련 API에 조작된 데이터를 전달하여 무단 데이터 변경 및 조회를 시도
🛡️ 대응 방법
Oracle이 제공하는 최신 보안 패치가 적용된 Java SE 또는 GraalVM 버전으로 즉시 업데이트
🔧 검증 코드
출력된 버전 문자열을 확인하여 8u503 또는 GraalVM 21.3.19.1.1이면 취약하며, Oracle 보안 공지의 패치 이후 버전이면 조치가 완료된 것입니다.
java -version 2>&1 | head -n 1
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N
💻 영향받는 소프트웨어
Oracle GraalVM Enterprise Edition