🇰🇷 한글 설명
Eclipse Kura 5.6.2 미만 버전은 클라이언트가 제공하는 X-Forwarded-For HTTP 헤더를 신뢰하여 감사 로그의 클라이언트 IP 주소로 사용합니다. 이로 인해 공격자가 IP 주소를 조작하여 IP 기반 무차별 대입 공격 방지 시스템(fail2ban 등)을 우회하거나, 제3자의 IP를 주입하여 해당 IP를 차단시키는 서비스 거부 공격을 수행할 수 있습니다.
💡 쉬운 설명
공격자가 자신의 IP 주소를 가짜로 속여서 보안 시스템의 감시를 피하거나, 다른 사람의 IP를 차단되게 만들 수 있는 취약점입니다. 로그에 기록되는 접속 위치 정보를 공격자가 마음대로 조작할 수 있는 것이 문제입니다.
🇺🇸 원문 (English)
Eclipse Kura versions prior to 5.6.2 trust the client-supplied X-Forwarded-For HTTP header as the authoritative source of the client IP address in audit log entries. The org.eclipse.kura.web2 (Web Console) and org.eclipse.kura.rest.provider (REST API) components use this header as the primary IP source when initializing audit context, and org.eclipse.kura.jetty.customizer unconditionally installs Jetty's ForwardedRequestCustomizer on all HTTP/HTTPS connectors, causing HttpServletRequest.getRemoteAddr() to reflect the attacker-controlled header value. An unauthenticated remote attacker can exploit this vulnerability to bypass IP-based brute-force protections — such as fail2ban — by spoofing the logged IP address to a non-routable value, allowing a brute-force attack to proceed undetected, or to cause a denial of service against a third party by injecting a victim's IP address and triggering a ban on that address.
📍 영향받는 시스템
Eclipse Kura versions prior to 5.6.2
⚔️ 공격 벡터
HTTP 요청 시 X-Forwarded-For 헤더를 조작하여 전송하는 원격 공격
🛡️ 대응 방법
Eclipse Kura를 5.6.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 5.6.2보다 낮으면 취약한 상태입니다.
rpm -q eclipse-kura 2>/dev/null || dpkg -l | grep eclipse-kura | awk '{print $2}'