🇰🇷 한글 설명
Spring Framework의 특정 버전에서 Windows 환경의 파일 시스템을 통해 정적 리소스를 제공할 때 디렉토리 트래버스 취약점이 발생합니다. 공격자는 특수하게 조작된 URL을 사용하여 서버의 허용되지 않은 디렉토리에 접근할 수 있습니다.
💡 쉬운 설명
웹사이트의 이미지나 스타일시트를 불러오는 기능을 악용하여, 공격자가 서버 내부의 중요한 파일을 몰래 훔쳐볼 수 있는 보안 구멍입니다. 윈도우 운영체제에서 파일을 직접 불러올 때 특히 위험합니다.
🇺🇸 원문 (English)
Spring Framework, versions 5.0 prior to 5.0.5 and versions 4.3 prior to 4.3.15 and older unsupported versions, allow applications to configure Spring MVC to serve static resources (e.g. CSS, JS, images). When static resources are served from a file system on Windows (as opposed to the classpath, or the ServletContext), a malicious user can send a request using a specially crafted URL that can lead a directory traversal attack.
📍 영향받는 시스템
Spring Framework 5.0.x (5.0.5 미만), 4.3.x (4.3.15 미만) 및 이전 지원 종료 버전
⚔️ 공격 벡터
특수하게 조작된 URL 경로를 이용한 디렉토리 트래버스(Directory Traversal) 공격
🛡️ 대응 방법
Spring Framework를 최신 보안 패치가 적용된 버전(5.0.5 이상 또는 4.3.15 이상)으로 업데이트
🔧 검증 코드
출력된 라이브러리 목록에서 spring-webmvc 또는 spring-core의 버전을 확인하여 취약 버전 포함 여부를 판단합니다.
mvn dependency:list | grep -E 'spring-webmvc|spring-core'