🇰🇷 한글 설명
Spring Data REST를 사용하는 애플리케이션에서 HTTP PATCH 요청을 통해 숨겨진 엔티티 속성을 노출할 수 있는 취약점입니다. 공격자가 도메인 모델의 구조를 알고 있다면, 조작된 HTTP 요청을 통해 의도치 않은 데이터에 접근할 수 있습니다.
💡 쉬운 설명
데이터를 수정하는 기능을 악용하여 원래는 보여주면 안 되는 중요한 정보들을 몰래 훔쳐볼 수 있는 문제입니다. 데이터베이스의 내부 구조를 아는 공격자가 특정 명령을 보내면 숨겨진 정보가 드러날 수 있습니다.
🇺🇸 원문 (English)
Applications that allow HTTP PATCH access to resources exposed by Spring Data REST in versions 3.6.0 - 3.5.5, 3.7.0 - 3.7.2, and older unsupported versions, if an attacker knows about the structure of the underlying domain model, they can craft HTTP requests that expose hidden entity attributes.
📍 영향받는 시스템
Spring Data REST 3.6.0 - 3.5.5, 3.7.0 - 3.7.2 및 이전 지원 종료 버전
⚔️ 공격 벡터
도메인 모델 구조를 파악한 공격자가 조작된 HTTP PATCH 요청을 전송
🛡️ 대응 방법
Spring Data REST를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 spring-data-rest의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
mvn dependency:list | grep 'spring-data-rest'