🇰🇷 한글 설명
Spring Security의 어노테이션 탐지 메커니즘이 경계가 없는 제네릭을 사용하는 매개변수화된 상위 타입 내 메서드 어노테이션을 올바르게 해석하지 못할 수 있습니다. 이로 인해 @PreAuthorize와 같은 메서드 보안 어노테이션이 제대로 작동하지 않아 권한 우회 취약점이 발생할 수 있습니다.
💡 쉬운 설명
프로그램이 보안 규칙을 확인하는 과정에서 특정 복잡한 구조의 코드를 제대로 읽지 못하는 문제입니다. 이로 인해 권한이 없는 사용자가 허가되지 않은 기능에 접근할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
The Spring Security annotation detection mechanism may not correctly resolve annotations on methods within type hierarchies with a parameterized super type with unbounded generics. This can be an issue when using @PreAuthorize and other method security annotations, resulting in an authorization bypass.
Your application may be affected by this if you are using Spring Security's @EnableMethodSecurity feature.
You are not affected by this if you are not using @EnableMethodSecurity or if you do not use security annotations on methods in generic superclasses or generic interfaces.
This CVE is published in conjunction with CVE-2025-41249 https://spring.io/security/cve-2025-41249 .
📍 영향받는 시스템
Spring Security의 @EnableMethodSecurity 기능을 사용하며, 제네릭 상위 클래스/인터페이스의 메서드에 보안 어노테이션을 사용하는 시스템
⚔️ 공격 벡터
제네릭 상위 타입을 상속받은 메서드의 보안 설정을 우회하여 권한이 필요한 기능에 접근
🛡️ 대응 방법
Spring Security를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Spring Security 버전이 취약점이 해결된 최신 패치 버전인지 확인하십시오.
mvn dependency:tree | grep spring-security-core