CVE 취약점 권고문 데이터베이스

[영향 대상] Atlassian Confluence Server 및 Data Center 1.3.0 이상 7.18.1 미만 버전 (7.4.17, 7.13.7, 7.14.3, 7.15.2, 7.16.4, 7.17.4, 7.18.1 미만의 특정 릴리즈 라인 포함)

[파급 효과] 인증되지 않은 원격의 공격자가 특수하게 조작된 HTTP 요청을 전송하여 대상 서버에서 시스템 권한으로 임의의 Java 코드를 실행하고 서버를 완전히 장악할 수 있습니다.

[권장 조치] 사용 중인 Confluence 인스턴스를 즉시 최신 패치 버전(7.4.17, 7.13.7, 7.14.3, 7.15.2, 7.16.4, 7.17.4, 7.18.1 이상)으로 업그레이드하거나, 제공된 임시 완화 패치 파일(JAR)을 적용하십시오.

[영향 대상] Atlassian Confluence Server 및 Data Center 6.13.23 미만, 6.14.0 이상 7.4.11 미만, 7.5.0 이상 7.11.6 미만, 7.12.0 이상 7.12.5 미만 버전

[파급 효과] 인증되지 않은 원격 공격자가 특수하게 조작된 HTTP 요청을 전송하여 대상 서버에서 시스템 권한으로 임의의 OS 명령어를 실행할 수 있습니다.

[권장 조치] 사용 중인 Confluence 인스턴스를 최신 패치 버전(6.13.23, 7.4.11, 7.11.6, 7.12.5 이상)으로 즉시 업그레이드하거나 제공된 완화 스크립트를 적용하십시오.

[영향 대상] Apache Struts 2.0.0 버전부터 2.5.25 버전까지의 프레임워크 환경

[파급 효과] 공격자가 태그 속성에 입력한 악성 OGNL 표현식이 서버 측에서 이중 평가되어 시스템 권한으로 원격 코드 실행(RCE)이 가능합니다

[권장 조치] Apache Struts 버전을 2.5.26 이상으로 즉시 업그레이드하고, 사용자 입력을 받는 태그 속성의 OGNL 강제 평가 설정을 제거하십시오

[영향 대상] Apache Struts 2.3 ~ 2.3.34 및 2.5 ~ 2.5.16 버전 환경

[파급 효과] 공격자가 조작된 HTTP 요청을 전송하여 대상 서버에서 시스템 권한으로 임의의 OS 명령어를 실행할 수 있는 원격 코드 실행(RCE) 위험

[권장 조치] Apache Struts 버전을 최신 패치 버전(2.3.35 또는 2.5.17 이상)으로 즉시 업그레이드하고, 임시 조치로 네임스페이스 설정을 검토하십시오.

[영향 대상] Apache Struts 2.1.x 및 2.3.x 버전에서 Struts 1 플러그인(struts2-struts1-plugin)을 사용하는 웹 애플리케이션

[파급 효과] 공격자가 조작된 필드 값을 전송하여 서버 권한으로 임의의 시스템 명령을 실행하고 시스템을 완전히 장악할 수 있는 원격 코드 실행(RCE) 위험이 존재합니다

[권장 조치] Apache Struts 2.5.x 이상 최신 버전으로 업그레이드하거나, Struts 1 플러그인 사용을 중단하고 관련 의존성을 제거해야 합니다

[영향 대상] Apache Struts 2.3.19 ~ 2.3.28 버전 중 DMI(Dynamic Method Invocation) 기능이 활성화된 환경

[파급 효과] 공격자가 특수하게 조작된 HTTP 요청을 통해 서버 권한으로 임의의 코드를 실행(RCE)하고 시스템을 완전히 장악할 수 있음

[권장 조치] Struts 버전을 2.3.20.3, 2.3.24.3 또는 2.3.28.1 이상으로 즉시 업데이트하고, DMI 설정을 비활성화(false) 처리

[영향 대상] Apache Struts 2.0.0 버전부터 2.3.15 버전까지의 프레임워크 환경

[파급 효과] 공격자가 특수하게 조작된 'action:', 'redirect:', 'redirectAction:' 접두사 매개변수를 전송하여 대상 서버에서 임의의 OGNL 표현식을 실행하고 시스템 권한을 탈취할 수 있습니다

[권장 조치] Apache Struts 버전을 2.3.15.1 이상으로 즉시 업그레이드하거나, 취약한 파라미터 접두사 처리를 제한하는 방화벽 룰을 적용하십시오

[영향 대상] Apache Struts 2.2.3.1 미만 버전

[파급 효과] 인증되지 않은 원격 공격자가 조작된 HTTP 요청 매개변수를 전송하여 대상 서버에서 시스템 권한으로 임의의 Java 코드를 실행할 수 있습니다.

[권장 조치] Apache Struts 버전을 2.2.3.1 이상 또는 최신 보안 패치 버전으로 즉시 업그레이드하십시오.