🇰🇷 한글 설명
Apache Wicket의 CSRF 방지 메커니즘이 일부 교차 출처 요청을 감지하지 못하는 보안 결함입니다. Origin 헤더가 없을 때 Referer 헤더를 검증하지 않으며, 일부 서버 측 대상이 CSRF 검사 대상에서 제외되어 있습니다.
💡 쉬운 설명
Wicket 웹 프레임워크가 다른 사이트에서 보낸 요청을 제대로 차단하지 못합니다. 공격자가 사용자를 속여 원치 않는 작업을 실행하게 할 수 있습니다.
🇺🇸 원문 (English)
Apache Wicket 6.x before 6.25.0, 7.x before 7.5.0, and 8.0.0-M1 provide a CSRF prevention measure that fails to discover some cross origin requests. The mitigation is to not only check the Origin HTTP header, but also take the Referer HTTP header into account when no Origin was provided. Furthermore, not all Wicket server side targets were subjected to the CSRF check. This was also fixed.
📍 영향받는 시스템
Apache Wicket 6.x (6.25.0 이전), 7.x (7.5.0 이전), 8.0.0-M1
⚔️ 공격 벡터
불완전한 CSRF 검증을 우회하여 Origin/Referer 헤더 검사를 우회한 교차 출처 요청 수행
🛡️ 대응 방법
Apache Wicket을 6.25.0 이상, 7.5.0 이상 또는 8.0.0-M1 이후 버전으로 업그레이드
🔧 검증 코드
Maven pom.xml에서 Wicket 버전을 추출합니다. 버전이 6.25.0 미만, 7.5.0 미만 또는 8.0.0-M1이면 업그레이드 필요
find . -type f -name 'pom.xml' -exec grep -H 'wicket' {} \; 2>/dev/null | grep -oP '(?<=<version>)[^<]+' | head -1