🇰🇷 한글 설명
Spring Cloud Gateway에서 spring.ssl.bundle 설정 속성을 사용해 SSL 번들을 구성할 때, 해당 설정이 조용히 무시되고 기본 SSL 설정이 대신 적용되는 문제가 있습니다. 이로 인해 의도한 보안 설정이 적용되지 않을 수 있습니다.
💡 쉬운 설명
게이트웨이에서 직접 지정한 암호화(SSL) 설정이 적용되지 않고 기본 설정으로 대체됩니다. 관리자가 의도한 보안 수준이 지켜지지 않을 수 있습니다.
🇺🇸 원문 (English)
When configuring SSL bundles in Spring Cloud Gateway by using the configuration property spring.ssl.bundle, the configuration was silently ignored and the default SSL configuration was used instead.
Note: The 4.2.x branch is no longer under open source support. If you are using Spring Cloud Gateway 4.2.0 and are not an enterprise customer, you can upgrade to any Spring Cloud Gateway 4.2.x release newer than 4.2.0 available on Maven Centeral https://repo1.maven.org/maven2/org/springframework/cloud/spring-cloud-gateway/ . Ideally if you are not an enterprise customer, you should be upgrading to 5.0.2 or 5.1.1 which are the current supported open source releases.
📍 영향받는 시스템
Spring Cloud Gateway 4.2.0 (4.2.x 브랜치 일부) 및 spring.ssl.bundle을 사용하는 구성 환경
⚔️ 공격 벡터
공격자가 설정 무시로 인해 기본(약하거나 의도와 다른) SSL 설정이 적용된 연결을 노려 통신 보안 약화를 유도할 수 있음
🛡️ 대응 방법
4.2.0보다 최신인 4.2.x 릴리스로 업그레이드하거나, 권장되는 5.0.2 또는 5.1.1 이상으로 업그레이드
🔧 검증 코드
결과에 4.2.0 버전이 표시되면 취약하며, 4.2.1 이상 또는 5.0.2/5.1.1 이상이면 수정된 버전입니다. 버전이 명시되지 않은 경우 Maven/Gradle 의존성 트리(mvn dependency:tree 등)로 실제 사용 버전을 확인해야 합니다.
grep -ri 'spring-cloud-gateway' --include='*.xml' --include='*.gradle' --include='*.kts' . 2>/dev/null | grep -iE '4\.2\.0|version'