🇰🇷 한글 설명
Spring Security의 특정 버전에서 로그아웃 시 직렬화된 보안 컨텍스트를 제대로 삭제하지 못하는 취약점이 발견되었습니다. 이로 인해 사용자가 로그아웃을 수행한 후에도 인증 상태가 유지될 수 있는 보안 결함이 존재합니다.
💡 쉬운 설명
로그아웃 버튼을 눌러도 시스템이 사용자의 로그인 정보를 완전히 지우지 못하는 문제입니다. 이 때문에 로그아웃을 했다고 생각해도 다른 사람이 해당 계정을 계속 사용할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
In Spring Security, versions 5.7.x prior to 5.7.8, versions 5.8.x prior to 5.8.3, and versions 6.0.x prior to 6.0.3, the logout support does not properly clean the security context if using serialized versions. Additionally, it is not possible to explicitly save an empty security context to the HttpSessionSecurityContextRepository. This vulnerability can keep users authenticated even after they performed logout. Users of affected versions should apply the following mitigation. 5.7.x users should upgrade to 5.7.8. 5.8.x users should upgrade to 5.8.3. 6.0.x users should upgrade to 6.0.3.
📍 영향받는 시스템
Spring Security 5.7.x (< 5.7.8), 5.8.x (< 5.8.3), 6.0.x (< 6.0.3)
⚔️ 공격 벡터
로그아웃 후에도 세션에 남아있는 보안 컨텍스트를 이용한 세션 탈취 및 인증 우회
🛡️ 대응 방법
Spring Security를 5.7.8, 5.8.3 또는 6.0.3 이상의 최신 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 spring-security-core의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
mvn dependency:list | grep spring-security-core