🇰🇷 한글 설명
Quarkus REST에서 CDI 스코프가 지정되지 않은 필드 주입을 사용할 경우, 동시 요청 간에 요청 파라미터가 유출될 수 있는 결함이 발견되었습니다. 공격자는 이를 통해 요청 데이터를 조작하거나 사용자를 사칭하고 민감한 정보에 접근할 수 있습니다.
💡 쉬운 설명
여러 사용자가 동시에 웹사이트를 이용할 때, 한 사람의 개인 정보가 다른 사람에게 잘못 전달될 수 있는 보안 약점입니다. 공격자가 이 틈을 타서 다른 사용자인 척하거나 중요한 데이터를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in Quarkus REST that allows request parameters to leak between concurrent requests if endpoints use field injection without a CDI scope. This vulnerability allows attackers to manipulate request data, impersonate users, or access sensitive information.
📍 영향받는 시스템
CDI 스코프 없이 필드 주입을 사용하는 Quarkus REST 기반 애플리케이션
⚔️ 공격 벡터
동시 요청을 이용한 파라미터 유출 및 데이터 조작
🛡️ 대응 방법
필드 주입 시 적절한 CDI 스코프(예: @RequestScoped)를 명시하거나 생성자 주입 방식으로 변경
🔧 검증 코드
명령어 결과에 스코프 지정 없이 @Inject를 사용하는 코드가 나타나면 취약할 가능성이 있습니다.
grep -r "@Inject" . | grep -v "@RequestScoped" | grep -v "@SessionScoped"