🇰🇷 한글 설명
Spring Security의 특정 버전에서 정수 오버플로 취약점이 발견되었습니다. BCrypt 클래스를 사용할 때 최대 작업 인자(work factor)인 31을 설정하면, 정수 오버플로로 인해 솔트 라운드가 수행되지 않는 문제가 발생합니다.
💡 쉬운 설명
비밀번호를 암호화할 때 보안을 강화하기 위해 반복 횟수를 높게 설정하면, 오히려 암호화 과정이 생략되어 보안이 취약해지는 현상입니다. 이로 인해 해커가 암호화된 비밀번호를 더 쉽게 알아낼 수 있습니다.
🇺🇸 원문 (English)
Spring Security versions 5.5.x prior to 5.5.7, 5.6.x prior to 5.6.4, and earlier unsupported versions contain an integer overflow vulnerability. When using the BCrypt class with the maximum work factor (31), the encoder does not perform any salt rounds, due to an integer overflow error. The default settings are not affected by this CVE.
📍 영향받는 시스템
Spring Security 5.5.x (5.5.7 미만), 5.6.x (5.6.4 미만) 및 이전 지원 종료 버전
⚔️ 공격 벡터
최대 작업 인자(31)를 사용하는 BCrypt 암호화 설정 시 정수 오버플로를 유도하여 보안 강도를 무력화함
🛡️ 대응 방법
Spring Security를 5.5.7 또는 5.6.4 이상의 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 spring-security-core의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
mvn dependency:tree | grep spring-security-core