🇰🇷 한글 설명
Spring Security의 JdbcOneTimeTokenService를 사용하여 일회용 토큰 로그인을 명시적으로 구성한 애플리케이션에서 TOCTOU(Time-of-check Time-of-use) 레이스 컨디션 취약점이 발생합니다. 이 취약점은 토큰 검증과 사용 사이의 시간차를 이용한 공격에 노출될 수 있습니다.
💡 쉬운 설명
로그인할 때 사용하는 일회용 번호가 확인되는 순간과 실제로 사용되는 순간 사이에 아주 짧은 시간 차이가 발생하는 문제입니다. 공격자는 이 틈을 타서 번호를 여러 번 재사용하거나 조작할 수 있습니다.
🇺🇸 원문 (English)
Vulnerability in Spring Spring Security. Applications that explicitly configure One-Time Token login with JdbcOneTimeTokenService are vulnerable to a Time-of-check Time-of-use (TOCTOU) race condition. This issue affects Spring Security: from 6.4.0 through 6.4.15, from 6.5.0 through 6.5.9, from 7.0.0 through 7.0.4.
📍 영향받는 시스템
Spring Security 6.4.0-6.4.15, 6.5.0-6.5.9, 7.0.0-7.0.4
⚔️ 공격 벡터
토큰 검증과 사용 단계 사이의 시간차를 이용한 레이스 컨디션 공격
🛡️ 대응 방법
Spring Security를 취약점이 해결된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 spring-security 버전이 명시된 취약 버전 범위에 포함되는지 확인합니다.
mvn dependency:list | grep spring-security