🇰🇷 한글 설명
Spring Security 6.4.0에서 6.4.3 버전 사이에서 매개변수화된 타입이나 메서드에 설정된 메서드 보안 어노테이션을 올바르게 인식하지 못할 수 있습니다. 이로 인해 권한 검사가 제대로 이루어지지 않아 인가 우회 취약점이 발생할 수 있습니다.
💡 쉬운 설명
프로그램이 특정 기능을 사용할 때 권한이 있는지 확인하는 과정에서 실수가 발생할 수 있는 문제입니다. 이로 인해 권한이 없는 사용자가 허가되지 않은 기능에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Spring Security 6.4.0 - 6.4.3 may not correctly locate method security annotations on parameterized types or methods. This may cause an authorization bypass.
You are not affected if you are not using @EnableMethodSecurity, or
you do not have method security annotations on parameterized types or methods, or all method security annotations are attached to target methods
📍 영향받는 시스템
Spring Security 6.4.0 ~ 6.4.3 ( @EnableMethodSecurity 사용 및 매개변수화된 타입에 보안 어노테이션을 사용하는 경우)
⚔️ 공격 벡터
매개변수화된 타입에 적용된 보안 설정을 우회하여 권한이 필요한 메서드에 접근
🛡️ 대응 방법
Spring Security를 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 spring-security-core의 버전이 6.4.0에서 6.4.3 사이인지 확인하십시오.
mvn dependency:list | grep spring-security-core