🇰🇷 한글 설명
VMware SpringSource Spring Security 2.0.7 미만 및 3.0.x 3.0.6 미만 버전의 RunAsManager 메커니즘에서 레이스 컨디션 취약점이 발견되었습니다. 공격자가 조작된 스레드를 사용하여 공유 보안 컨텍스트에 저장된 인증 객체에 접근함으로써 권한을 획득할 수 있습니다.
💡 쉬운 설명
여러 작업이 동시에 처리되는 과정에서 발생하는 시간차 오류를 이용한 공격입니다. 공격자가 특수한 명령을 보내 시스템의 보안 인증을 가로채고 높은 권한을 얻을 수 있습니다.
🇺🇸 원문 (English)
Race condition in the RunAsManager mechanism in VMware SpringSource Spring Security before 2.0.7 and 3.0.x before 3.0.6 stores the Authentication object in the shared security context, which allows attackers to gain privileges via a crafted thread.
📍 영향받는 시스템
VMware SpringSource Spring Security 2.0.7 미만 버전 및 3.0.x 3.0.6 미만 버전
⚔️ 공격 벡터
조작된 스레드를 생성하여 공유 보안 컨텍스트 내의 인증 객체에 접근하는 레이스 컨디션 공격
🛡️ 대응 방법
Spring Security를 2.0.7 또는 3.0.6 이상의 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위의 spring-security 라이브러리가 나타나면 해당 시스템은 취약한 상태입니다.
mvn dependency:tree | grep -E 'spring-security-(2\.[0-9]|3\.0\.[0-5])'