🇰🇷 한글 설명
Spring Framework 5.3.0 - 5.3.13, 5.2.0 - 5.2.18 및 이전 미지원 버전에서 사용자가 악의적인 입력을 제공하여 추가 로그 항목을 삽입할 수 있는 취약점입니다. 이는 CVE-2021-22096의 후속 조치로, Spring Framework 코드베이스의 더 많은 위치와 다양한 입력 유형으로부터 보호하기 위해 마련되었습니다.
💡 쉬운 설명
공격자가 시스템에 가짜 기록을 남겨서 로그를 어지럽히거나 중요한 정보를 숨길 수 있는 문제입니다. 마치 일기장에 누군가 몰래 거짓 내용을 적어 넣어 무엇이 진짜인지 헷갈리게 만드는 것과 같습니다.
🇺🇸 원문 (English)
In Spring Framework versions 5.3.0 - 5.3.13, 5.2.0 - 5.2.18, and older unsupported versions, it is possible for a user to provide malicious input to cause the insertion of additional log entries. This is a follow-up to CVE-2021-22096 that protects against additional types of input and in more places of the Spring Framework codebase.
📍 영향받는 시스템
Spring Framework 5.3.0 - 5.3.13, 5.2.0 - 5.2.18 및 이전 미지원 버전
⚔️ 공격 벡터
악의적으로 조작된 입력값을 Spring Framework의 로그 처리 로직에 전달
🛡️ 대응 방법
Spring Framework를 최신 보안 패치가 적용된 버전(5.3.14 이상 또는 5.2.19 이상)으로 업데이트
🔧 검증 코드
출력된 spring-core의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크
mvn dependency:list | grep 'org.springframework:spring-core'