🇰🇷 한글 설명
VMware SpringSource Spring Security의 DaoAuthenticationProvider에서 사용자를 찾지 못할 경우 비밀번호를 확인하지 않는 취약점이 발견되었습니다. 이로 인해 응답 지연 시간이 짧아지며, 공격자가 여러 번의 로그인 요청을 통해 유효한 사용자 이름을 열거할 수 있습니다.
💡 쉬운 설명
로그인 시 아이디가 틀렸을 때와 비밀번호가 틀렸을 때의 응답 속도 차이를 이용하는 공격입니다. 이를 통해 공격자는 시스템에 존재하는 실제 아이디 목록을 알아낼 수 있습니다.
🇺🇸 원문 (English)
DaoAuthenticationProvider in VMware SpringSource Spring Security before 2.0.8, 3.0.x before 3.0.8, and 3.1.x before 3.1.3 does not check the password if the user is not found, which makes the response delay shorter and might allow remote attackers to enumerate valid usernames via a series of login requests.
📍 영향받는 시스템
Spring Security 2.0.8 미만, 3.0.x (3.0.8 미만), 3.1.x (3.1.3 미만) 버전
⚔️ 공격 벡터
로그인 요청 시 응답 시간 차이를 분석하는 타이밍 공격(Timing Attack)
🛡️ 대응 방법
Spring Security를 최신 보안 패치가 적용된 버전(2.0.8, 3.0.8, 3.1.3 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 spring-security-core의 버전이 취약한 버전 범위에 포함되는지 확인하십시오.
mvn dependency:tree | grep -E 'spring-security-core'