🇰🇷 한글 설명
Spring Framework 5.3.0 - 5.3.38 및 이전 지원 종료 버전에서 사용자가 조작된 SpEL(Spring Expression Language) 표현식을 제공할 경우 서비스 거부(DoS) 상태가 발생할 수 있습니다. 애플리케이션이 사용자로부터 입력받은 SpEL 표현식을 직접 평가할 때 이 취약점이 발생합니다.
💡 쉬운 설명
공격자가 특수하게 만들어진 명령어를 입력하여 웹 서비스를 마비시킬 수 있는 보안 약점입니다. 사용자가 입력한 코드를 시스템이 검증 없이 실행할 때 발생합니다.
🇺🇸 원문 (English)
In Spring Framework versions 5.3.0 - 5.3.38 and older unsupported versions, it is possible for a user to provide a specially crafted Spring Expression Language (SpEL) expression that may cause a denial of service (DoS) condition.
Specifically, an application is vulnerable when the following is true:
* The application evaluates user-supplied SpEL expressions.
📍 영향받는 시스템
Spring Framework 5.3.0 ~ 5.3.38 및 이전 지원 종료 버전
⚔️ 공격 벡터
사용자로부터 입력받은 SpEL 표현식을 애플리케이션이 검증 없이 평가(Evaluation)할 때 발생
🛡️ 대응 방법
Spring Framework를 최신 보안 패치가 적용된 버전(5.3.39 이상 등)으로 업데이트하십시오.
🔧 검증 코드
출력된 spring-core의 버전이 5.3.39 미만인지 확인하십시오.
mvn dependency:list | grep spring-core