🇰🇷 한글 설명
Quarkus REST Data Panache에서 데이터 엔티티를 위한 REST 엔드포인트를 자동으로 생성할 때 정렬 매개변수를 적절히 검증하지 않는 결함이 발견되었습니다. 공격자는 이를 악용하여 권한이 없는 정보에 접근하거나, 복잡한 데이터베이스 작업을 강제하여 시스템 성능을 저하시키는 서비스 거부(DoS) 공격을 수행할 수 있습니다.
💡 쉬운 설명
데이터를 정렬하는 명령어를 조작하여 허용되지 않은 정보를 훔쳐보거나 시스템을 느리게 만들 수 있는 문제입니다. 정렬 규칙을 검사하는 과정에 허점이 있어 발생합니다.
🇺🇸 원문 (English)
Quarkus REST Data Panache provides a way to automatically generate REST endpoints for data entities. A flaw was found where certain endpoints do not properly check the sort parameter provided by users. This could allow an attacker to learn information they should not have access to or slow down the system by forcing the database to perform complex tasks, potentially causing a denial of service.
📍 영향받는 시스템
Quarkus REST Data Panache 라이브러리 사용 시스템
⚔️ 공격 벡터
사용자가 조작된 sort 매개변수를 REST API 요청에 포함하여 전송
🛡️ 대응 방법
Quarkus 및 REST Data Panache 라이브러리를 최신 보안 패치 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 사용 중인 quarkus-rest-data-panache의 버전을 확인하여 취약한 버전인지 대조
mvn dependency:list | grep 'quarkus-rest-data-panache'