🇰🇷 한글 설명
Armeria 프레임워크가 Spring의 Matrix 변수를 처리하는 과정에서 발생하는 보안 취약점입니다. 1.24.3 미만 버전에서는 특수하게 조작된 경로를 포함한 요청을 보낼 경우 Armeria의 데코레이터가 호출되지 않아 인증 및 권한 부여 과정을 우회할 수 있습니다.
💡 쉬운 설명
웹사이트 주소에 특수한 기호를 섞어 보내면, 보안 검사기를 거치지 않고 서버의 중요한 기능에 바로 접근할 수 있는 문제입니다. 공격자가 허가되지 않은 권한을 얻어 시스템에 침입할 위험이 있습니다.
🇺🇸 원문 (English)
Armeria is a microservice framework Spring supports Matrix variables. When Spring integration is used, Armeria calls Spring controllers via `TomcatService` or `JettyService` with the path that may contain matrix variables. Prior to version 1.24.3, the Armeria decorators might not invoked because of the matrix variables. If an attacker sends a specially crafted request, the request may bypass the authorizer. Version 1.24.3 contains a patch for this issue.
📍 영향받는 시스템
Armeria versions prior to 1.24.3
⚔️ 공격 벡터
Matrix 변수가 포함된 특수하게 조작된 URL 경로를 통한 인증 우회 공격
🛡️ 대응 방법
Armeria 버전을 1.24.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Armeria의 버전이 1.24.3 미만인지 확인하십시오.
mvn dependency:list | grep armeria