🇰🇷 한글 설명
Spring Framework의 요청 파라미터 바인딩 과정에서 disallowedFields 필터링을 우회할 수 있는 취약점입니다. 특수한 형식의 요청을 통해 보안상 민감한 필드에 데이터를 주입할 수 있습니다.
💡 쉬운 설명
Spring 웹 프레임워크가 차단하려던 특정 입력값을 우회하는 방법이 발견되었습니다. CVSS 점수가 낮지만 데이터 보안 관점에서 주의가 필요합니다.
🇺🇸 원문 (English)
CVE-2024-38820 ensured Locale-independent, lowercase conversion for both the configured disallowedFields patterns and for request parameter names. However, there are still cases where it is possible to bypass the disallowedFields checks.
Affected Spring Products and Versions
Spring Framework:
* 6.2.0 - 6.2.6
* 6.1.0 - 6.1.19
* 6.0.0 - 6.0.27
* 5.3.0 - 5.3.42
* Older, unsupported versions are also affected
Mitigation
Users of affected versions should upgrade to the corresponding fixed version.
Affected version(s)Fix Version Availability 6.2.x
6.2.7
OSS6.1.x
6.1.20
OSS6.0.x
6.0.28
Commercial https://enterprise.spring.io/ 5.3.x
5.3.43
Commercial https://enterprise.spring.io/
No further mitigation steps are necessary.
Generally, we recommend using a dedicated model object with properties only for data binding, or using constructor binding since constructor arguments explicitly declare what to bind together with turning off setter binding through the declarativeBinding flag. See the Model Design section in the reference documentation.
For setting binding, prefer the use of allowedFields (an explicit list) over disallowedFields.
Credit
This issue was responsibly reported by the TERASOLUNA Framework Development Team from NTT DATA Group Corporation.
📍 영향받는 시스템
Spring Framework 5.3.0-5.3.42, 6.0.0-6.0.27, 6.1.0-6.1.19, 6.2.0-6.2.6
⚔️ 공격 벡터
특수하게 조작된 요청 파라미터를 전송하여 disallowedFields 검사를 우회하고 금지된 필드에 데이터 바인딩
🛡️ 대응 방법
Spring Framework를 5.3.43, 6.0.28, 6.1.20, 6.2.7 이상으로 업그레이드
🔧 검증 코드
pom.xml에서 spring 관련 버전 정보가 나타나면 현재 사용 중인 버전을 확인할 수 있고, 패치 버전 이상인지 검증합니다.
grep spring pom.xml 2>/dev/null | grep version | head -1 || find . -name 'spring-*.jar' 2>/dev/null | sed 's/.*spring-core-//;s/.jar.*//' | head -1