🇰🇷 한글 설명
Administrator 또는 Developer 권한을 가진 인증된 사용자가 Spring bean 내의 SpEL(Spring Expression Language) 표현식을 사용하여 OS 명령어를 실행할 수 있는 취약점입니다. SpEL 표현식에 보안 제한이 없어 공격자가 원격으로 임의의 명령을 실행(RCE)할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 시스템의 명령어를 마음대로 실행할 수 있는 보안 구멍이 발견되었습니다. 이를 통해 해커가 서버를 완전히 장악할 위험이 있습니다.
🇺🇸 원문 (English)
Authenticated users with Administrator or Developer roles may execute OS commands by SPEL Expression in Spring beans. SPEL Expression does not have security restrictions, which will cause attackers to execute arbitrary commands remotely (RCE).
📍 영향받는 시스템
Spring Framework를 사용하는 시스템 중 SpEL 표현식을 처리하는 구성 요소
⚔️ 공격 벡터
인증된 관리자/개발자 권한을 이용한 SpEL Injection 공격
🛡️ 대응 방법
Spring Framework를 최신 보안 패치 버전으로 업데이트하고 SpEL 입력값에 대한 검증 로직을 강화하십시오.
🔧 검증 코드
프로젝트 설정 파일에서 사용 중인 Spring Framework의 버전을 확인하여 취약한 버전인지 검토하십시오.
grep -r "Spring" /path/to/your/project/pom.xml 2>/dev/null