🇰🇷 한글 설명
Spring Security 4.2.x(4.2.12까지) 및 이전 지원 종료 버전에서 PlaintextPasswordEncoder를 사용할 때 발생하는 취약점입니다. 암호화된 비밀번호가 null인 사용자의 경우, 공격자가
💡 쉬운 설명
비밀번호를 암호화하지 않고 평문으로 저장하는 설정에서 발생하는 보안 허점입니다. 특정 조건에서 비밀번호 자리에 'null'이라는 글자를 입력하면 로그인이 허용될 수 있습니다.
🇺🇸 원문 (English)
Spring Security, versions 4.2.x up to 4.2.12, and older unsupported versions support plain text passwords using PlaintextPasswordEncoder. If an application using an affected version of Spring Security is leveraging PlaintextPasswordEncoder and a user has a null encoded password, a malicious user (or attacker) can authenticate using a password of "null".
📍 영향받는 시스템
Spring Security 4.2.x (4.2.12 이하 버전) 및 이전 지원 종료 버전
⚔️ 공격 벡터
인증 과정에서 비밀번호 필드에
🛡️ 대응 방법
Spring Security를 최신 보안 패치 버전으로 업데이트하거나 PlaintextPasswordEncoder 사용을 중단하고 BCrypt 등 강력한 암호화 알고리즘을 적용하십시오.
🔧 검증 코드
출력된 결과에서 spring-security-core의 버전이 4.2.12 이하인지 확인하십시오.
mvn dependency:tree | grep 'spring-security-core'