🇰🇷 한글 설명
Spring Security Aspects가 private 메서드에 적용된 메서드 보안 어노테이션을 올바르게 찾지 못할 수 있는 취약점입니다. 이로 인해 권한 검사가 누락되어 인증되지 않은 사용자가 메서드를 호출할 수 있는 권한 우회 문제가 발생할 수 있습니다.
💡 쉬운 설명
보안 규칙을 적용해둔 비밀 메서드를 시스템이 제대로 인식하지 못해, 아무나 접근할 수 있게 되는 문제입니다. 마치 문에 자물쇠를 채웠는데 시스템이 자물쇠가 있다는 사실을 몰라 문을 열어두는 것과 같습니다.
🇺🇸 원문 (English)
Spring Security Aspects may not correctly locate method security annotations on private methods. This can cause an authorization bypass.
Your application may be affected by this if the following are true:
* You are using @EnableMethodSecurity(mode=ASPECTJ) and spring-security-aspects, and
* You have Spring Security method annotations on a private method
In that case, the target method may be able to be invoked without proper authorization.
You are not affected if:
* You are not using @EnableMethodSecurity(mode=ASPECTJ) or spring-security-aspects, or
* You have no Spring Security-annotated private methods
📍 영향받는 시스템
@EnableMethodSecurity(mode=ASPECTJ)를 사용하며 spring-security-aspects 라이브러리가 포함된 시스템
⚔️ 공격 벡터
권한이 없는 사용자가 보안 어노테이션이 적용된 private 메서드를 직접 호출하여 비인가 접근 수행
🛡️ 대응 방법
AspectJ 모드 사용을 지양하거나, private 메서드에 보안 어노테이션을 사용하는 설계를 피하고 라이브러리를 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 spring-security-aspects가 포함되어 있고 코드 내에 @EnableMethodSecurity(mode=ASPECTJ) 설정이 있다면 취약할 수 있습니다.
mvn dependency:tree | grep -E 'spring-security-aspects'