🇰🇷 한글 설명
Spring WebFlux 애플리케이션에서 정적 리소스에 대한 Spring Security 권한 부여 규칙이 특정 상황에서 우회될 수 있는 취약점입니다. 이 취약점이 성립하려면 WebFlux를 사용하고, Spring의 정적 리소스 지원 기능을 활용하며, 해당 리소스에 permitAll이 아닌 권한 규칙이 적용되어 있어야 합니다.
💡 쉬운 설명
웹사이트의 이미지나 스타일시트 같은 파일에 걸어둔 보안 잠금장치가 특정 조건에서 무력화될 수 있는 문제입니다. 공격자가 권한 없이도 보호된 파일에 접근할 수 있게 됩니다.
🇺🇸 원문 (English)
Spring WebFlux applications that have Spring Security authorization rules on static resources can be bypassed under certain circumstances.
For this to impact an application, all of the following must be true:
* It must be a WebFlux application
* It must be using Spring's static resources support
* It must have a non-permitAll authorization rule applied to the static resources support
📍 영향받는 시스템
Spring WebFlux 및 Spring Security를 사용하며 정적 리소스에 보안 규칙을 적용한 애플리케이션
⚔️ 공격 벡터
특정 경로 조작 등을 통해 정적 리소스에 설정된 Spring Security의 권한 검사 로직을 우회하여 접근
🛡️ 대응 방법
Spring Framework 및 Spring Security를 최신 보안 패치 버전으로 업데이트
🔧 검증 코드
출력된 의존성 목록에서 사용 중인 Spring WebFlux 및 Spring Security의 버전을 확인하여 취약한 버전인지 대조
mvn dependency:tree | grep -E 'spring-boot-starter-webflux|spring-security'