🇰🇷 한글 설명
spring-security-config jar 파일 내부의 spring-security.xsd 파일이 모든 사용자가 수정 가능한 권한(world writable)으로 설정되어 있습니다. 이는 파일 시스템에 접근할 수 있는 사용자라면 누구나 해당 파일을 변조할 수 있음을 의미합니다.
💡 쉬운 설명
중요한 설정 파일이 누구나 수정할 수 있도록 문이 열려 있는 상태입니다. 해커가 이 파일을 몰래 바꾸면 보안 설정을 무력화할 수 있습니다.
🇺🇸 원문 (English)
The spring-security.xsd file inside the
spring-security-config jar is world writable which means that if it were
extracted it could be written by anyone with access to the file system.
While there are no known exploits, this is an example of “CWE-732:
Incorrect Permission Assignment for Critical Resource” and could result
in an exploit. Users should update to the latest version of Spring
Security to mitigate any future exploits found around this issue.
📍 영향받는 시스템
Spring Security (spring-security-config jar 포함 버전)
⚔️ 공격 벡터
파일 시스템 접근 권한을 가진 로컬 사용자가 해당 xsd 파일을 변조하여 보안 로직을 조작
🛡️ 대응 방법
Spring Security를 최신 버전으로 업데이트하여 파일 권한 설정 수정
🔧 검증 코드
출력된 파일 권한 중 'others' 부분에 'w'(예: -rw-rw-rw-)가 포함되어 있는지 확인
find / -name spring-security.xsd -exec ls -l {} \; 2>/dev/null