🇰🇷 한글 설명
Spring Cloud Gateway 3.1.1 미만 버전에서 HTTP2를 활성화했으나 키 저장소나 신뢰할 수 있는 인증서가 설정되지 않은 경우, 보안이 취약한 TrustManager가 사용됩니다. 이로 인해 게이트웨이가 유효하지 않거나 사용자 정의된 인증서를 사용하는 원격 서비스와도 연결될 수 있습니다.
💡 쉬운 설명
인터넷 연결 시 상대방이 진짜인지 확인하는 '신분증 검사' 과정이 생략되는 보안 결함입니다. 이로 인해 해커가 만든 가짜 사이트에 연결되어 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
In spring cloud gateway versions prior to 3.1.1+ , applications that are configured to enable HTTP2 and no key store or trusted certificates are set will be configured to use an insecure TrustManager. This makes the gateway able to connect to remote services with invalid or custom certificates.
📍 영향받는 시스템
Spring Cloud Gateway versions prior to 3.1.1
⚔️ 공격 벡터
신뢰할 수 없는 인증서를 사용하는 중간자(Man-in-the-Middle) 공격을 통한 데이터 탈취
🛡️ 대응 방법
Spring Cloud Gateway를 3.1.1 이상의 버전으로 업데이트하거나 신뢰할 수 있는 인증서/키 저장소를 명시적으로 설정하십시오.
🔧 검증 코드
출력된 의존성 목록에서 spring-cloud-starter-gateway의 버전이 3.1.1 미만인지 확인하십시오.
mvn dependency:tree | grep 'spring-cloud-starter-gateway'