🇰🇷 한글 설명
Spring Security의 특정 버전에서 SecureRandomFactoryBean#setSeed를 사용하여 SecureRandom 인스턴스를 설정할 때 보안상 취약한 난수 생성 문제가 발생합니다. 공격자가 시드 값을 알 수 있는 환경이라면 난수의 예측 가능성이 높아져 보안이 약화될 수 있습니다.
💡 쉬운 설명
컴퓨터가 무작위 숫자를 만들 때 사용하는 규칙이 예측 가능해지는 문제입니다. 공격자가 다음에 나올 숫자를 미리 맞출 수 있게 되어 보안 장치가 무력화될 위험이 있습니다.
🇺🇸 원문 (English)
Spring Security versions 4.2.x prior to 4.2.12, 5.0.x prior to 5.0.12, and 5.1.x prior to 5.1.5 contain an insecure randomness vulnerability when using SecureRandomFactoryBean#setSeed to configure a SecureRandom instance. In order to be impacted, an honest application must provide a seed and make the resulting random material available to an attacker for inspection.
📍 영향받는 시스템
Spring Security 4.2.x (< 4.2.12), 5.0.x (< 5.0.12), 5.1.x (< 5.1.5)
⚔️ 공격 벡터
애플리케이션이 제공한 시드 값을 공격자가 가로채거나 예측하여 난수 생성 패턴을 파악함
🛡️ 대응 방법
Spring Security를 취약점이 해결된 최신 버전(4.2.12+, 5.0.12+, 5.1.5+ 이상)으로 업데이트합니다.
🔧 검증 코드
명령어 결과에 현재 사용 중인 Spring Security 버전이 취약한 범위 내에 있는지 확인합니다.
mvn dependency:tree | grep -E 'spring-security-core:[42]\.(?!(12|0\.12|1\.5))'