🇰🇷 한글 설명
Spring Boot의 Cassandra 자동 설정에서 SSL 연결 시 호스트명 검증을 수행하지 않아 중간자 공격(MITM)에 취약합니다. 공격자가 합법적인 Cassandra 서버로 가장하여 데이터를 탈취하거나 변조할 수 있습니다.
💡 쉬운 설명
Spring Boot가 데이터베이스에 암호화된 연결을 할 때 실제로 올바른 서버와 통신하는지 확인하지 않습니다. 공격자가 가짜 서버로 가장하여 데이터를 훔칠 수 있습니다.
🇺🇸 원문 (English)
Spring Boot's Cassandra auto-configuration does not perform hostname verification when establishing an SSL connection to Cassandra.
Affected: Spring Boot 4.0.0–4.0.5 (fix 4.0.6), 3.5.0–3.5.13 (fix 3.5.14), 3.4.0–3.4.15 (fix 3.4.16), 3.3.0–3.3.18 (fix 3.3.19), 2.7.0–2.7.32 (fix 2.7.33); Cassandra SSL auto-configuration. Versions that are no longer supported are also affected per vendor advisory.
📍 영향받는 시스템
Spring Boot 4.0.0–4.0.5, 3.5.0–3.5.13, 3.4.0–3.4.15, 3.3.0–3.3.18, 2.7.0–2.7.32 (Cassandra SSL 자동 설정 포함)
⚔️ 공격 벡터
네트워크 감청 공격자가 SSL 핸드셰이크 중 악의적 인증서를 제시하여 Cassandra 통신을 가로채는 중간자 공격 수행
🛡️ 대응 방법
Spring Boot를 최신 패치 버전으로 업그레이드 (4.0.6 이상, 3.5.14 이상, 3.4.16 이상, 3.3.19 이상, 2.7.33 이상)
🔧 검증 코드
출력된 Spring Boot 버전이 각 메이저 버전의 최소 패치 버전 이상이면 안전, 이하 버전은 업그레이드 필수
grep -E '(spring-boot|implementation.version)' pom.xml 2>/dev/null | head -1 || grep -E 'id.*springframework.boot' build.gradle 2>/dev/null | head -1