🇰🇷 한글 설명
Spring Cloud Function 프레임워크의 특정 버전에서 존재하지 않는 함수를 조합할 때 DOS 공격에 취약함. 4.1.2 미만 또는 4.0.8 미만의 버전에서 Web 모듈 사용 시 공격 가능.
💡 쉬운 설명
Spring Cloud Function 소프트웨어에서 없는 기능을 요청하면 서버가 과부하 상태에 빠져 서비스가 중단될 수 있습니다. 패치되지 않은 구 버전을 사용하면 누구나 이 공격을 수행할 수 있습니다.
🇺🇸 원문 (English)
In Spring Cloud Function framework, versions 4.1.x prior to 4.1.2, 4.0.x prior to 4.0.8 an application is vulnerable to a DOS attack when attempting to compose functions with non-existing functions.
Specifically, an application is vulnerable when all of the following are true:
User is using Spring Cloud Function Web module
Affected Spring Products and Versions Spring Cloud Function Framework 4.1.0 to 4.1.2 4.0.0 to 4.0.8
References https://spring.io/security/cve-2022-22979 https://checkmarx.com/blog/spring-function-cloud-dos-cve-2022-22979-and-unintended-function-invocation/ History 2020-01-16: Initial vulnerability report published.
📍 영향받는 시스템
Spring Cloud Function Web 모듈 4.1.0-4.1.1, 4.0.0-4.0.7
⚔️ 공격 벡터
존재하지 않는 함수 조합 요청을 반복 전송하여 서버 리소스 소진
🛡️ 대응 방법
Spring Cloud Function을 4.1.2 이상 또는 4.0.8 이상으로 즉시 업데이트
🔧 검증 코드
출력된 버전이 4.1.2 미만이거나 4.0.8 미만이면 취약 상태, 해당 버전 이상이면 패치됨
mvn dependency:tree 2>/dev/null | grep -i spring-cloud-function || grep 'spring-cloud-function' pom.xml | grep -oP 'version>\K[^<]+' | head -1