🇰🇷 한글 설명
Pivotal Spring-LDAP 1.3.0 - 2.3.1 버전에서 특정 LDAP 서버와 연결 시, 올바른 사용자 이름만 입력하면 임의의 비밀번호로도 인증이 통과되는 취약점이 존재합니다. 이는 특정 LDAP 벤더가 인증을 완료하기 위해 명시적인 작업이 필요함에도 불구하고, DefaultTlsDirContextAuthenticationStrategy를 사용할 때 추가 속성 바인딩이 누락되어 발생합니다.
💡 쉬운 설명
아이디만 맞으면 비밀번호를 아무렇게나 입력해도 로그인이 되어버리는 보안 구멍이 발견되었습니다. 특정 설정 환경에서 인증 절차가 제대로 마무리되지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
In Pivotal Spring-LDAP versions 1.3.0 - 2.3.1, when connected to some LDAP servers, when no additional attributes are bound, and when using LDAP BindAuthenticator with org.springframework.ldap.core.support.DefaultTlsDirContextAuthenticationStrategy as the authentication strategy, and setting userSearch, authentication is allowed with an arbitrary password when the username is correct. This occurs because some LDAP vendors require an explicit operation for the LDAP bind to take effect.
📍 영향받는 시스템
Pivotal Spring-LDAP versions 1.3.0 - 2.3.1
⚔️ 공격 벡터
올바른 사용자 이름을 입력한 후 임의의 비밀번호를 사용하여 인증을 우회하는 방식
🛡️ 대응 방법
Spring-LDAP를 최신 보안 패치가 적용된 버전으로 업데이트하거나 LDAP 인증 전략 설정을 검토하십시오.
🔧 검증 코드
출력된 결과에서 spring-ldap의 버전이 1.3.0에서 2.3.1 사이인지 확인합니다.
mvn dependency:tree | grep spring-ldap