🇰🇷 한글 설명
Spring Boot Admin 서버에서 알림 기능(예: Teams-Notifier)이 활성화되어 있고 UI를 통해 환경 변수에 쓰기 권한이 있는 경우 발생합니다. 공격자는 이를 악용하여 환경 변수를 조작할 수 있습니다. Spring Boot Admin 2.6.10 또는 2.7.8 이상의 최신 버전으로 업그레이드할 것을 권장합니다.
💡 쉬운 설명
관리 도구의 설정 오류를 이용해 해커가 시스템의 중요한 설정값을 몰래 바꿀 수 있는 보안 약점입니다. 이를 막으려면 관리 도구를 최신 버전으로 업데이트하거나 위험한 설정 기능을 꺼야 합니다.
🇺🇸 원문 (English)
Spring boot admins is an open source administrative user interface for management of spring boot applications. All users who run Spring Boot Admin Server, having enabled Notifiers (e.g. Teams-Notifier) and write access to environment variables via UI are affected. Users are advised to upgrade to the most recent releases of Spring Boot Admin 2.6.10 and 2.7.8 to resolve this issue. Users unable to upgrade may disable any notifier or disable write access (POST request) on `/env` actuator endpoint.
📍 영향받는 시스템
Spring Boot Admin (2.6.10 및 2.7.8 미만 버전 중 Notifier가 활성화된 경우)
⚔️ 공격 벡터
UI를 통한 환경 변수 쓰기 권한 및 활성화된 Notifier를 이용한 설정 조작
🛡️ 대응 방법
Spring Boot Admin을 2.6.10 또는 2.7.8 이상으로 업그레이드하거나, Notifier를 비활성화하고 /env 엔드포인트의 POST 요청을 차단합니다.
🔧 검증 코드
명령어 결과에 알림 설정(notifier)이 포함되어 있고 /env 엔드포인트가 활성화되어 있다면 취약할 가능성이 높습니다.
curl -s http://localhost:8080/actuator/env | grep -E 'spring.boot.admin.ui.notifier'