🇰🇷 한글 설명
Spring Framework의 annotation 감지 메커니즘이 unbounded generics를 포함한 매개변수화된 슈퍼타입 계층에서 메서드 annotation을 올바르게 해석하지 못합니다. Spring Security의 @EnableMethodSecurity를 사용할 때 권한 검증에 사용되는 annotation이 누락되어 인증되지 않은 접근이 발생할 수 있습니다.
💡 쉬운 설명
Spring 웹 프레임워크에서 보안 규칙을 정하는 기능이 상속받은 클래스에서 제대로 작동하지 않을 수 있습니다. 이로 인해 접근 제한이 우회되어 권한 없는 사용자가 보호된 기능에 접근할 수 있습니다.
🇺🇸 원문 (English)
The Spring Framework annotation detection mechanism may not correctly resolve annotations on methods within type hierarchies with a parameterized super type with unbounded generics. This can be an issue if such annotations are used for authorization decisions.
Your application may be affected by this if you are using Spring Security's @EnableMethodSecurity feature.
You are not affected by this if you are not using @EnableMethodSecurity or if you do not use security annotations on methods in generic superclasses or generic interfaces.
This CVE is published in conjunction with CVE-2025-41248 https://spring.io/security/cve-2025-41248 .
📍 영향받는 시스템
Spring Framework @EnableMethodSecurity를 사용하는 모든 Spring Boot/Spring Security 애플리케이션
⚔️ 공격 벡터
제네릭 슈퍼클래스의 메서드에서 누락된 보안 annotation으로 인해 인증되지 않은 사용자의 접근 허용
🛡️ 대응 방법
Spring Framework를 최신 보안 패치 버전으로 업그레이드하고 generic superclass/interface의 메서드 annotation을 검토
🔧 검증 코드
출력된 Spring Framework/Security 버전 번호가 최신 패치 버전보다 낮으면 취약 상태이고, 같거나 높으면 안전
grep -E 'spring-framework|spring-security' pom.xml gradle.properties build.gradle 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' | sort -u