🇰🇷 한글 설명
Spring Framework 4.0.0-4.0.4, 3.0.0-3.2.8 등에서 사용자 제공 XML 문서 처리 시 DTD 선언의 URI 참조 해석이 기본값으로 비활성화되지 않아 XXE 공격을 허용합니다. 공격자는 악의적인 XML을 통해 시스템 파일을 유출하거나 서비스를 거부시킬 수 있습니다.
💡 쉬운 설명
Spring Framework가 사용자 XML을 처리할 때 외부 파일 참조를 제대로 차단하지 않아, 악의적인 XML로 서버의 파일을 읽거나 시스템을 마비시킬 수 있습니다. XML을 업로드받는 웹 애플리케이션이 특히 위험합니다.
🇺🇸 원문 (English)
When processing user provided XML documents, the Spring Framework 4.0.0 to 4.0.4, 3.0.0 to 3.2.8, and possibly earlier unsupported versions did not disable by default the resolution of URI references in a DTD declaration. This enabled an XXE attack.
📍 영향받는 시스템
Spring Framework 4.0.0-4.0.4, 3.0.0-3.2.8 및 그 이전 지원 중단된 버전들
⚔️ 공격 벡터
악의적인 XML의 DTD 선언을 통해 외부 엔티티(파일, 원격 서버)를 참조하여 정보 유출 및 서비스 거부 공격 수행
🛡️ 대응 방법
Spring Framework를 4.0.5 이상 또는 3.2.9 이상으로 업그레이드하고 XMLConstants.ACCESS_EXTERNAL_DTD 및 ACCESS_EXTERNAL_SCHEMA를 명시적으로 비활성화
🔧 검증 코드
JAR 파일의 버전을 확인하여 spring-core-4.0.5 이상 또는 spring-core-3.2.9 이상인지 검증하며, 그 이전 버전은 즉시 업그레이드 필요
find . -name 'spring*.jar' 2>/dev/null | head -1 | xargs basename