🇰🇷 한글 설명
Spring Data Commons와 XMLBeam을 함께 사용할 때 발생하는 XML 외부 엔티티(XXE) 취약점입니다. 공격자가 조작된 요청 파라미터를 통해 시스템의 임의 파일에 접근할 수 있는 위험이 있습니다.
💡 쉬운 설명
웹사이트가 외부 데이터를 처리할 때 보안 규칙이 제대로 적용되지 않아 발생하는 문제입니다. 이를 통해 해커가 서버에 저장된 중요한 파일을 몰래 읽어갈 수 있습니다.
🇺🇸 원문 (English)
Spring Data Commons, versions 1.13 prior to 1.13.12 and 2.0 prior to 2.0.7, used in combination with XMLBeam 1.4.14 or earlier versions, contains a property binder vulnerability caused by improper restriction of XML external entity references as underlying library XMLBeam does not restrict external reference expansion. An unauthenticated remote malicious user can supply specially crafted request parameters against Spring Data's projection-based request payload binding to access arbitrary files on the system.
📍 영향받는 시스템
Spring Data Commons 1.13.x (< 1.13.12) 및 2.0.x (< 2.0.7)와 XMLBeam 1.4.14 이하 버전
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 조작된 XML 요청 파라미터를 전송하여 공격
🛡️ 대응 방법
Spring Data Commons를 1.13.12 또는 2.0.7 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 spring-data-commons와 xmlbeam의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
mvn dependency:tree | grep -E 'spring-data-commons|xmlbeam'