🇰🇷 한글 설명
Spring Security OAuth 2.5.x 버전(2.5.2 미만) 및 이전 지원 종료 버전에서 OAuth 2.0 클라이언트 애플리케이션을 대상으로 한 서비스 거부(DoS) 공격이 가능합니다. 공격자가 단일 세션을 통해 권한 부여 요청을 반복적으로 생성하면 시스템 자원이 고갈될 수 있습니다.
💡 쉬운 설명
해커가 가짜 로그인 요청을 아주 많이 보내서 서버의 컴퓨터 자원을 모두 써버리게 만드는 공격입니다. 이로 인해 서버가 느려지거나 정상적인 사용자가 서비스를 이용하지 못하게 될 수 있습니다.
🇺🇸 원문 (English)
<Issue Description> Spring Security OAuth versions 2.5.x prior to 2.5.2 and older unsupported versions are susceptible to a Denial-of-Service (DoS) attack via the initiation of the Authorization Request in an OAuth 2.0 Client application. A malicious user or attacker can send multiple requests initiating the Authorization Request for the Authorization Code Grant, which has the potential of exhausting system resources using a single session. This vulnerability exposes OAuth 2.0 Client applications only.
📍 영향받는 시스템
Spring Security OAuth 2.5.x (2.5.2 미만 버전) 및 이전 지원 종료 버전
⚔️ 공격 벡터
OAuth 2.0 Authorization Code Grant 요청을 반복적으로 전송하여 시스템 자원 고갈 유도
🛡️ 대응 방법
Spring Security OAuth를 2.5.2 버전 이상으로 업데이트하거나 최신 보안 패치가 적용된 버전 사용
🔧 검증 코드
출력된 결과에서 spring-security-oauth의 버전이 2.5.2 미만인지 확인
mvn dependency:tree | grep 'spring-security-oauth'