🇰🇷 한글 설명
Spring Boot DevTools의 원격 시크릿 비교에서 타이밍 공격 취약점으로, 같은 네트워크의 공격자가 응답 시간 차이를 분석하여 시크릿을 유추할 수 있습니다. 시크릿을 알아낸 후 악의적인 클래스를 업로드하여 원격 코드 실행을 달성할 수 있습니다.
💡 쉬운 설명
Spring Boot 애플리케이션의 원격 접근 기능이 암호 확인 속도의 미묘한 차이를 통해 공격당할 수 있습니다. 공격자가 올바른 암호를 알아낸 후 악성 코드를 실행시킬 수 있습니다.
🇺🇸 원문 (English)
An attacker on the same network as the remote application may be able to utilize a timing attack to discover information about the remote secret. In extreme circumstances this could result in the attacker determining the secret and uploading changed classes, thereby achieving remote code execution in the remote application.
Affected: Spring Boot 4.0.0–4.0.5 (fix 4.0.6), 3.5.0–3.5.13 (fix 3.5.14), 3.4.0–3.4.15 (fix 3.4.16), 3.3.0–3.3.18 (fix 3.3.19), 2.7.0–2.7.32 (fix 2.7.33); DevTools remote secret comparison. Versions that are no longer supported are also affected per vendor advisory.
📍 영향받는 시스템
Spring Boot 2.7.0–2.7.32, 3.3.0–3.3.18, 3.4.0–3.4.15, 3.5.0–3.5.13, 4.0.0–4.0.5 (DevTools)
⚔️ 공격 벡터
같은 네트워크의 공격자가 DevTools 원격 접근 시 다양한 시크릿으로 여러 요청을 보내 응답 시간 차이를 분석해 올바른 시크릿을 결정
🛡️ 대응 방법
Spring Boot를 2.7.33, 3.3.19, 3.4.16, 3.5.14 또는 4.0.6 이상으로 즉시 업그레이드하거나 DevTools를 프로덕션 환경에서 비활성화
🔧 검증 코드
출력된 버전이 영향받는 범위(2.7.0–32, 3.3.0–18, 3.4.0–15, 3.5.0–13, 4.0.0–5)에 포함되면 취약함; 수정 버전 이상이면 안전
grep -oE '[0-9]+\.[0-9]+\.[0-9]+' pom.xml build.gradle 2>/dev/null | head -1