🇰🇷 한글 설명
bubble fireworks는 Spring Framework와 관련된 오픈 소스 Java 패키지입니다. 2021.BUILD-SNAPSHOT 이전 버전에서 JSON Web Token(JWT)의 서명을 적절히 검증하지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 유효한 JWT를 위조할 수 있습니다.
💡 쉬운 설명
로그인 정보가 담긴 디지털 증명서의 위조 방지 기능이 제대로 작동하지 않는 문제입니다. 공격자가 가짜 증명서를 만들어 시스템에 정상 사용자인 것처럼 속이고 접속할 수 있습니다.
🇺🇸 원문 (English)
bubble fireworks is an open source java package relating to Spring Framework. In bubble fireworks before version 2021.BUILD-SNAPSHOT there is a vulnerability in which the package did not properly verify the signature of JSON Web Tokens. This allows to forgery of valid JWTs.
📍 영향받는 시스템
bubble fireworks version 2021.BUILD-SNAPSHOT 미만 버전
⚔️ 공격 벡터
서명 검증 미흡을 이용한 유효한 JWT 위조 및 인증 우회
🛡️ 대응 방법
bubble fireworks를 2021.BUILD-SNAPSHOT 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 bubble-fireworks의 버전을 확인하여 2021.BUILD-SNAPSHOT보다 낮은지 체크합니다.
mvn dependency:list | grep 'bubble-fireworks'