🇰🇷 한글 설명
Spring Security의 NimbusJwtDecoder 또는 NimbusReactiveJwtDecoder를 사용하여 JWT 디코딩을 구성할 때 OAuth2TokenValidator를 별도로 설정해야 하는 취약점입니다. 이 설정이 누락될 경우 토큰 검증이 제대로 이루어지지 않을 수 있습니다.
💡 쉬운 설명
로그인할 때 사용하는 디지털 신분증(JWT)이 진짜인지 확인하는 검사 과정을 개발자가 깜빡하고 설정하지 않을 수 있는 문제입니다. 이로 인해 가짜 신분증을 가진 사용자가 시스템에 접속할 위험이 있습니다.
🇺🇸 원문 (English)
Vulnerability in Spring Spring Security. When an application configures JWT decoding with NimbusJwtDecoder or NimbusReactiveJwtDecoder, it must configure an OAuth2TokenValidator<Jwt> separately, for example by calling setJwtValidator.This issue affects Spring Security: from 6.3.0 through 6.3.14, from 6.4.0 through 6.4.14, from 6.5.0 through 6.5.9, from 7.0.0 through 7.0.4.
📍 영향받는 시스템
Spring Security: 6.3.0-6.3.14, 6.4.0-6.4.14, 6.5.0-6.5.9, 7.0.0-7.0.4
⚔️ 공격 벡터
적절히 검증되지 않은 JWT 토큰을 사용하여 인증을 우회하는 방식
🛡️ 대응 방법
NimbusJwtDecoder 설정 시 setJwtValidator를 호출하여 OAuth2TokenValidator를 명시적으로 구성하십시오.
🔧 검증 코드
출력된 spring-security-core의 버전이 취약 버전 범위에 포함되는지 확인하십시오.
mvn dependency:list | grep spring-security-core