🇰🇷 한글 설명
Spring Cloud Netflix Zuul 2.2.6.RELEASE 이하 버전을 사용하는 애플리케이션에서 특수하게 구성된 URL을 통해 'Sensitive Headers' 제한을 우회할 수 있는 취약점이 발견되었습니다. 다만, Spring Security의 StrictHttpFirewall가 활성화된 경우에는 해당 요청을 거부하므로 영향을 받지 않습니다.
💡 쉬운 설명
특수하게 조작된 웹 주소를 사용하면 보안상 숨겨야 할 중요한 정보(헤더)가 외부로 노출될 수 있는 문제입니다. 하지만 보안 설정이 기본값으로 잘 되어 있다면 자동으로 차단됩니다.
🇺🇸 원문 (English)
Applications using the “Sensitive Headers” functionality in Spring Cloud Netflix Zuul 2.2.6.RELEASE and below may be vulnerable to bypassing the “Sensitive Headers” restriction when executing requests with specially constructed URLs. Applications that use Spring Security's StrictHttpFirewall (enabled by default for all URLs) are not affected by the vulnerability, as they reject requests that allow bypassing.
📍 영향받는 시스템
Spring Cloud Netflix Zuul 2.2.6.RELEASE 및 그 이하 버전
⚔️ 공격 벡터
특수하게 조작된 URL을 통한 Sensitive Headers 제한 우회 공격
🛡️ 대응 방법
Spring Cloud Netflix Zuul 버전을 최신 버전으로 업데이트하거나 Spring Security의 StrictHttpFirewall를 활성화합니다.
🔧 검증 코드
출력된 결과에서 spring-cloud-netflix-zuul의 버전이 2.2.6.RELEASE 이하인지 확인합니다.
mvn dependency:tree | grep 'spring-cloud-netflix-zuul'