🇰🇷 한글 설명
Spring Framework 6.0.0에서 6.0.13 버전 사이에서 특수하게 제작된 HTTP 요청을 통해 서비스 거부(DoS) 상태를 유발할 수 있는 취약점이 발견되었습니다. 이 취약점은 Spring MVC 또는 WebFlux를 사용하며, micrometer-core가 클래스패스에 있고 ObservationRegistry가 구성된 경우에 발생합니다.
💡 쉬운 설명
해커가 특수한 요청을 보내 웹 서비스가 응답하지 못하게 만들어 마비시킬 수 있는 문제입니다. 주로 모니터링 기능이 포함된 스프링 기반 애플리케이션이 공격 대상이 됩니다.
🇺🇸 원문 (English)
In Spring Framework versions 6.0.0 - 6.0.13, it is possible for a user to provide specially crafted HTTP requests that may cause a denial-of-service (DoS) condition.
Specifically, an application is vulnerable when all of the following are true:
* the application uses Spring MVC or Spring WebFlux
* io.micrometer:micrometer-core is on the classpath
* an ObservationRegistry is configured in the application to record observations
Typically, Spring Boot applications need the org.springframework.boot:spring-boot-actuator dependency to meet all conditions.
📍 영향받는 시스템
Spring Framework 6.0.0 ~ 6.0.13 (Spring MVC 또는 WebFlux 사용 시)
⚔️ 공격 벡터
특수하게 조작된 HTTP 요청을 전송하여 시스템 자원을 고갈시키는 방식
🛡️ 대응 방법
Spring Framework를 6.0.14 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력 결과에서 spring-core 버전이 6.0.0~6.0.13 사이이고 micrometer-core가 포함되어 있다면 취약할 수 있습니다.
mvn dependency:tree | grep -E 'spring-core|micrometer-core'