🇰🇷 한글 설명
JDK 9 이상에서 실행되는 Spring MVC 또는 Spring WebFlux 애플리케이션이 데이터 바인딩을 통해 원격 코드 실행(RCE) 공격을 받을 수 있습니다. 이 취약점은 Tomcat에 WAR 형태로 배포된 경우에 구체적으로 발생하지만, Spring Boot 실행 가능한 JAR 형태로 배포된 경우에도 다른 방식으로 악용될 가능성이 있습니다.
💡 쉬운 설명
해커가 웹사이트의 데이터 입력창을 통해 서버에 몰래 명령어를 입력하여 서버를 마음대로 조종할 수 있는 위험한 결함입니다. 주로 특정 설정으로 운영되는 서버에서 발생하며, 공격자가 서버의 모든 권한을 가질 수 있습니다.
🇺🇸 원문 (English)
A Spring MVC or Spring WebFlux application running on JDK 9+ may be vulnerable to remote code execution (RCE) via data binding. The specific exploit requires the application to run on Tomcat as a WAR deployment. If the application is deployed as a Spring Boot executable jar, i.e. the default, it is not vulnerable to the exploit. However, the nature of the vulnerability is more general, and there may be other ways to exploit it.
📍 영향받는 시스템
Spring Framework (versions prior to 5.3.18 and 5.2.20) running on JDK 9+ and deployed as WAR on Tomcat
⚔️ 공격 벡터
데이터 바인딩 취약점을 이용한 원격 코드 실행(RCE)
🛡️ 대응 방법
Spring Framework를 5.3.18 또는 5.2.20 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 라이브러리 버전이 5.3.18 또는 5.2.20 미만인지 확인하십시오.
mvn dependency:list | grep -E 'spring-core|spring-webmvc|spring-webflux'