🇰🇷 한글 설명
SpringSource Spring Framework의 클래스로더 조작 취약점으로, 공격자가 악의적인 JAR 파일을 가리키는 class.classLoader.URLs 파라미터를 조작하여 원격 코드 실행이 가능합니다. 2.5.6.SEC02 이전, 2.5.7.SR01 이전, 3.0.3 이전 버전이 영향을 받습니다.
💡 쉬운 설명
웹 요청을 통해 악성 파일을 로드하도록 Spring Framework를 속일 수 있습니다. 이를 통해 공격자가 서버에서 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
SpringSource Spring Framework 2.5.x before 2.5.6.SEC02, 2.5.7 before 2.5.7.SR01, and 3.0.x before 3.0.3 allows remote attackers to execute arbitrary code via an HTTP request containing class.classLoader.URLs[0]=jar: followed by a URL of a crafted .jar file.
📍 영향받는 시스템
Spring Framework 2.5.x (< 2.5.6.SEC02), 2.5.7 (< 2.5.7.SR01), 3.0.x (< 3.0.3)
⚔️ 공격 벡터
HTTP 요청에 class.classLoader.URLs[0]=jar:[악성_JAR_URL] 파라미터를 포함시켜 원격 코드 실행
🛡️ 대응 방법
Spring Framework를 2.5.6.SEC02, 2.5.7.SR01, 또는 3.0.3 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 2.5.6.SEC02, 2.5.7.SR01, 3.0.3 이상이면 안전, 그 이하면 취약함
grep -E 'spring-framework|springframework' pom.xml 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' | head -1