🇰🇷 한글 설명
Spring Framework의 데이터 바인딩 취약점으로 인해 파일 업로드를 처리하는 애플리케이션에서 서비스 거부(DoS) 공격이 발생할 수 있습니다. MultipartFile 또는 javax.servlet.Part를 모델 객체의 필드에 바인딩할 때 악의적인 요청을 통해 시스템 자원을 고갈시킬 수 있습니다.
💡 쉬운 설명
파일을 올리는 기능을 가진 웹사이트에서 공격자가 특수한 요청을 보내 서버를 마비시킬 수 있는 문제입니다. 서버가 파일을 처리하는 과정에서 과도한 메모리나 CPU를 사용하게 만들어 정상적인 서비스를 방해합니다.
🇺🇸 원문 (English)
In spring framework versions prior to 5.3.20+ , 5.2.22+ and old unsupported versions, applications that handle file uploads are vulnerable to DoS attack if they rely on data binding to set a MultipartFile or javax.servlet.Part to a field in a model object.
📍 영향받는 시스템
Spring Framework 5.3.20 미만, 5.2.22 미만 및 지원이 종료된 이전 버전
⚔️ 공격 벡터
파일 업로드 시 데이터 바인딩을 악용하여 서버 자원을 고갈시키는 DoS 공격
🛡️ 대응 방법
Spring Framework를 5.3.20 이상 또는 5.2.22 이상 버전으로 업데이트
🔧 검증 코드
출력된 spring-core의 버전을 확인하여 5.3.20 또는 5.2.22보다 낮은지 확인합니다.
mvn dependency:list | grep spring-core