🇰🇷 한글 설명
Spring Data Commons의 특정 버전에서 특수 요소를 적절히 중화하지 못하는 프로퍼티 바인더 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 조작된 요청 파라미터를 전송하여 Spring Data REST 또는 프로젝션 기반 바인딩을 통해 원격 코드 실행(RCE)을 수행할 수 있습니다.
💡 쉬운 설명
해커가 특수하게 조작된 데이터를 웹사이트에 보내면, 서버가 이를 잘못 처리하여 해커가 서버를 마음대로 조종할 수 있는 보안 구멍입니다. 이로 인해 서버의 제어권을 통째로 빼앗길 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
Spring Data Commons, versions prior to 1.13 to 1.13.10, 2.0 to 2.0.5, and older unsupported versions, contain a property binder vulnerability caused by improper neutralization of special elements. An unauthenticated remote malicious user (or attacker) can supply specially crafted request parameters against Spring Data REST backed HTTP resources or using Spring Data's projection-based request payload binding hat can lead to a remote code execution attack.
📍 영향받는 시스템
Spring Data Commons 1.13 미만(1.13.10 미만 포함), 2.0 미만(2.0.5 미만 포함) 및 이전 지원 종료 버전
⚔️ 공격 벡터
조작된 HTTP 요청 파라미터를 Spring Data REST 또는 프로젝션 기반 바인딩에 전달하여 공격
🛡️ 대응 방법
Spring Data Commons를 취약점이 해결된 최신 버전(1.13.10 이상 또는 2.0.5 이상)으로 업데이트
🔧 검증 코드
출력된 결과에서 spring-data-commons의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크
mvn dependency:tree | grep 'spring-data-commons'