🇰🇷 한글 설명
Spring Web Services의 Wss4jSecurityInterceptor가 BSP 준수 플래그를 잘못 초기화하여, 네트워크에서 WS-Security를 검증하는 서비스에서 BSP 규칙을 위반하는 메시지를 허용할 수 있습니다. 이로 인해 프로토콜 수준의 검증이 약화되어 보안 취약점이 발생합니다.
💡 쉬운 설명
이 결함은 웹 서비스 메시지의 보안 검증을 담당하는 기능이 제대로 작동하지 않게 만들어, 규칙을 어기는 해로운 메시지를 그대로 받아들이게 만듭니다. 공격자는 이러한 약점을 이용해 시스템의 보안을 우회할 수 있습니다.
🇺🇸 원문 (English)
Wss4jSecurityInterceptor initialized its BSP (WS-I Basic Security Profile) compliance flag so that inbound validation disabled WSS4J BSP enforcement on RequestData. Services that validate WS-Security on the network could therefore accept messages that violate BSP rules, weakening protocol-level checks.
Affected versions:
Spring Web Services 5.0.0 through 5.0.1; 4.1.0 through 4.1.3; 4.0.0 through 4.0.18; 3.1.0 through 3.1.8.
📍 영향받는 시스템
Spring Web Services 5.0.0-5.0.1, 4.1.0-4.1.3, 4.0.0-4.0.18, 3.1.0-3.1.8
⚔️ 공격 벡터
BSP 규칙을 위반하는 악의적인 WS-Security 메시지를 네트워크를 통해 전송하여 검증 우회
🛡️ 대응 방법
Spring Web Services의 최신 안정 버전으로 업그레이드하여 BSP 검증 로직을 수정해야 합니다.
🔧 검증 코드
출력된 버전이 취약한 범위(예: 5.0.0~5.0.1 등)에 포함되는지 확인하여 영향을 받는지 판별합니다.
mvn dependency:tree -Dincludes=org.springframework.ws:spring-ws-core 2>/dev/null | grep -E 'spring-ws-core'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Spring 제품 보안 업데이트 권고
P4
📅 2026-06-17 · sec_notice
Spring Framework 및 관련 라이브러리(Micrometer, Spring Security 등)에서 SSRF, XSS, RCE 가능성이 있는 다수의 취약점이 발견되었습니다. 해당 제품을 사용하는 사용자는 권고된 최신 버전으로 즉시 업데이트해야 합니다.