🇰🇷 한글 설명
Spring Web Services의 특정 버전(2.4.3, 3.0.4 및 이전 버전)에서 신뢰할 수 없는 XML 데이터를 처리할 때 XML 외부 엔티티 주입(XXE) 취약점이 발생합니다. 이 취약점을 통해 공격자는 서버의 내부 파일을 읽거나 외부 서버와 통신을 시도할 수 있습니다.
💡 쉬운 설명
웹사이트가 XML이라는 형식의 데이터를 읽을 때, 악의적으로 조작된 명령이 포함된 파일을 읽어오게 만드는 공격입니다. 이를 통해 해커가 서버 안에 있는 중요한 비밀 파일을 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Spring Web Services, versions 2.4.3, 3.0.4, and older unsupported versions of all three projects, were susceptible to XML External Entity Injection (XXE) when receiving XML data from untrusted sources.
📍 영향받는 시스템
Spring Web Services 2.4.3, 3.0.4 및 그 이전의 모든 지원 종료 버전
⚔️ 공격 벡터
신뢰할 수 없는 출처로부터 조작된 XML 데이터를 전송하여 서버의 XML 파서를 공격
🛡️ 대응 방법
Spring Web Services를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
명령어 결과에 취약한 버전 범위(2.4.3 이하 또는 3.0.4 이하)가 나타나면 보안 업데이트가 필요합니다.
mvn dependency:tree | grep -E 'spring-ws-core:[0-2]\.[0-4]\.|spring-ws-core:[3]\.[0]\.'