🇰🇷 한글 설명
Spring Security WebFlux 설정에서 '**' 패턴을 사용할 경우, Spring Security와 Spring WebFlux 간의 패턴 매칭 방식 차이로 인해 보안 우회가 발생할 수 있습니다. 이로 인해 인증되지 않은 사용자가 보호된 리소스에 접근할 수 있는 심각한 취약점이 존재합니다.
💡 쉬운 설명
보안 규칙을 설정할 때 사용하는 특수 기호가 시스템마다 다르게 해석되어, 문을 잠갔다고 생각했지만 실제로는 열려 있는 상태가 되는 문제입니다. 공격자는 이 차이를 이용해 허가 없이 내부 데이터에 접근할 수 있습니다.
🇺🇸 원문 (English)
Using "**" as a pattern in Spring Security configuration
for WebFlux creates a mismatch in pattern matching between Spring
Security and Spring WebFlux, and the potential for a security bypass.
📍 영향받는 시스템
Spring Security WebFlux를 사용하는 시스템 (패턴 매칭 불일치 발생 버전)
⚔️ 공격 벡터
패턴 매칭 불일치를 이용한 인증 및 인가 우회 공격
🛡️ 대응 방법
Spring Security를 최신 보안 패치가 적용된 버전으로 업데이트하고, '**' 대신 명확한 경로 패턴을 사용하십시오.
🔧 검증 코드
출력된 의존성 목록에서 현재 사용 중인 Spring Security WebFlux의 버전을 확인하여 취약한 버전인지 체크합니다.
mvn dependency:tree | grep -E 'spring-security-webflux'