🇰🇷 한글 설명
Spring Security를 사용하는 서블릿 애플리케이션에서 HTTP 응답 헤더를 지정할 때, 헤더가 제대로 작성되지 않을 수 있는 취약점입니다. 이 문제는 HTTP 헤더를 지연(lazy) 방식으로 작성하도록 설정된 환경에서 발생합니다.
💡 쉬운 설명
웹사이트가 보안을 위해 보내는 중요한 안내문(헤더)이 어떤 상황에서 누락될 수 있는 문제입니다. 이로 인해 보안 설정이 제대로 적용되지 않아 위험할 수 있습니다.
🇺🇸 원문 (English)
When applications specify HTTP response headers for servlet applications using Spring Security, there is the possibility that the HTTP Headers will not be written.
This issue affects Spring Security Servlet applications using lazy (default) writing of HTTP Headers:
: from 5.7.0 through 5.7.21, from 5.8.0 through 5.8.23, from 6.3.0 through 6.3.14, from 6.4.0 through 6.4.14, from 6.5.0 through 6.5.8, from 7.0.0 through 7.0.3.
📍 영향받는 시스템
Spring Security Servlet (5.7.0-5.7.21, 5.8.0-5.8.23, 6.3.0-6.3.14, 6.4.0-6.4.14, 6.5.0-6.5.8, 7.0.0-7.0.3)
⚔️ 공격 벡터
애플리케이션의 응답 헤더 누락을 유도하여 보안 메커니즘을 우회하는 방식
🛡️ 대응 방법
Spring Security를 취약점이 해결된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 spring-security-core의 버전이 취약한 범위에 포함되는지 확인하십시오.
mvn dependency:list | grep spring-security-core
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Spring 제품 보안 업데이트 권고
P3
📅 2026-05-06 · sec_notice
Spring Security에서 발견된 Forced Browsing 취약점(CVE-2026-22732)을 해결하기 위해 VMware는 보안 업데이트를 발표했습니다. Spring Security 사용자는 권고된 버전(7.0.4, 6.5.9, 6.4.15, 6.3.15, 5.8.24, 5.7.22 이상)으로 업데이트할 것을 권고합니다.