ClickCease CISA, TIBCO 소프트웨어의 재스퍼리포트 취약점 경고

인기 뉴스레터 구독하기

4,500명 이상의 Linux 및 오픈소스 전문가와 함께하세요!

한 달에 두 번. 스팸이 없습니다.

CISA, TIBCO 소프트웨어의 재스퍼리포트 취약점 경고

2023년 1월 11일 TuxCare 홍보팀

미국 사이버 보안 및 인프라 보안국(CISA)은 지속적인 익스플로잇(KEV) 증거를 인용하여 TIBCO 소프트웨어 재스퍼리포트 제품에 영향을 미치는 CVE-2018-5430(CVSS 점수: 7.7) 및 CVE-2018-18809(CVSS 점수: 9.9)로 추적된 2년 된 보안 결함을 알려진 익스플로잇 취약점(Known Exploited Vulnerabilities) 목록에 추가했습니다.

두 가지 결함 중 첫 번째 결함인 CVE-2018-5430은 서버 구성 요소 정보 공개 결함으로, 로그인한 사용자에게 중요한 구성을 포함한 여러 파일에 대한 읽기 전용 액세스 권한을 부여할 수 있습니다. 인증된 사용자가 서버의 자격 증명이 포함된 웹 애플리케이션 구성 파일에 읽기 전용으로 액세스할 수 있는 가능성이 영향을 미칩니다. 당시 발표된 Tibco 권고에 따르면, 이러한 자격 증명을 사용하여 JasperReports 서버에서 액세스하는 외부 시스템에 영향을 미칠 수 있다고 합니다.

또한 인증된 사용자가 임의의 파일을 읽을 수 있도록 하는 서버 측 정보 공개 버그를 의미할 수도 있습니다. 이 취약점은 인증된 사용자에게 주요 구성 파일을 포함한 웹 애플리케이션의 콘텐츠에 대한 읽기 전용 액세스 권한을 부여합니다.

다른 결함인 CVE-2018-18809는 IBM 제품의 디렉터리 통과 결함으로, 웹 서버 사용자가 호스트의 비공개 파일에 액세스하여 공격자가 자격 증명을 탈취하고 다른 시스템에 액세스할 수 있도록 허용할 수 있습니다. TIBCO 재스퍼리포트 라이브러리의 디렉터리 트래버스 취약점으로 인해 웹 서버 사용자가 호스트 시스템의 콘텐츠에 액세스할 수 있습니다.

두 취약점의 악의적 악용에 대한 공개 보고는 없는 것으로 보이지만, CISA는 야생에서 악용되었다는 신뢰할 수 있는 증거가 있는 경우에만 '필수 패치' 목록에 취약점을 추가합니다. 두 취약점 모두 기술적인 세부 사항과 개념 증명(PoC) 익스플로잇이 공개적으로 이용 가능합니다. CISA는 이 취약점이 실제 공격에서 어떻게 무기로 사용되고 있는지에 대한 추가 정보는 공개하지 않았으며, 미국 연방 기관은 2023년 1월 19일까지 시스템을 패치해야 합니다.

JasperReports는 보고서 및 대시보드의 생성, 배포 및 관리에 사용되는 Java 기반 보고 및 데이터 분석 플랫폼입니다.

이 글의 출처는 SecurityAffairs의 기사입니다.

요약
CISA, TIBCO 소프트웨어의 재스퍼리포트 취약점 경고
기사 이름
CISA, TIBCO 소프트웨어의 재스퍼리포트 취약점 경고
설명
CISA는 알려진 익스플로잇 취약점 목록에 TIBCO 소프트웨어 재스퍼리포트 제품에 영향을 미치는 2년 된 보안 결함을 추가했습니다.
작성자
게시자 이름
TuxCare
게시자 로고

Kernel 재부팅, 시스템 다운타임 또는 예정된 유지 보수 기간 없이 취약성 패치를 자동화하고 싶으신가요?

TuxCare로 라이브 패치에 대해 알아보기

TuxCare 게스트 작가 되기

시작하기

메일

가입

4,500

Linux & 오픈 소스
전문가!


뉴스레터 구독하기