🇰🇷 한글 설명
VMware SpringSource Spring Security의 로그아웃 기능에서 발생하는 CRLF 인젝션 취약점입니다. 공격자가 spring-security-redirect 파라미터를 악용하여 임의의 HTTP 헤더를 주입하고 HTTP 응답 분할 공격을 수행할 수 있습니다.
💡 쉬운 설명
로그아웃할 때 이동할 주소를 입력하는 칸에 특수 문자를 넣어 웹사이트의 응답을 조작하는 공격입니다. 이를 통해 가짜 페이지를 보여주거나 사용자의 정보를 가로챌 수 있습니다.
🇺🇸 원문 (English)
CRLF injection vulnerability in the logout functionality in VMware SpringSource Spring Security before 2.0.7 and 3.0.x before 3.0.6 allows remote attackers to inject arbitrary HTTP headers and conduct HTTP response splitting attacks via the spring-security-redirect parameter.
📍 영향받는 시스템
VMware SpringSource Spring Security 2.0.7 미만 및 3.0.x 버전 중 3.0.6 미만 버전
⚔️ 공격 벡터
spring-security-redirect 파라미터에 CRLF(
) 문자를 삽입하여 HTTP 응답 헤더를 조작함
🛡️ 대응 방법
Spring Security를 2.0.7 또는 3.0.6 이상의 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 spring-security 라이브러리의 버전이 2.0.7 또는 3.0.6 미만인지 확인하십시오.
mvn dependency:tree | grep -E 'spring-security-(core|web|config)'