🇰🇷 한글 설명
X509AuthenticationProvider는 인증서 기반 인증 시 계정 상태(비활성, 잠금, 만료 등)에 대한 표준 보안 검사를 생략하고 인증 토큰을 발급할 수 있습니다. 이로 인해 자격 증명이 만료되거나 비활성화된 계정으로도 시스템에 접근할 수 있는 취약점이 발생합니다.
💡 쉬운 설명
보안 시스템이 인증서로 로그인할 때, 계정 상태가 비활성화되었거나 비밀번호가 만료되었는지 확인하지 않고 무조건 접속을 허용하는 문제입니다. 해커는 만료된 계정 정보로도 시스템에 침입할 수 있게 됩니다.
🇺🇸 원문 (English)
X509AuthenticationProvider could issue a fully authenticated X509AuthenticationToken when a presented certificate mapped to UserDetails, without applying Spring Security's standard account lifecycle checks (disabled, locked, expired, or credentials-expired accounts).
Affected versions:
Spring Web Services 5.0.0 through 5.0.1; 4.1.0 through 4.1.3; 4.0.0 through 4.0.18; 3.1.0 through 3.1.8.
📍 영향받는 시스템
Spring Web Services 5.0.0-5.0.1, 4.1.0-4.1.3, 4.0.0-4.0.18, 3.1.0-3.1.8
⚔️ 공격 벡터
만료되거나 비활성화된 X.509 인증서를 사용하여 계정 상태 검증 우후 인증 획득
🛡️ 대응 방법
Spring Web Services를 패치된 최신 버전으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 3.1.9, 4.0.19, 4.1.4, 5.0.2 이상인지 확인하여 패치 여부 검증
mvn dependency:tree -Dincludes=org.springframework.ws:spring-ws-core 2>/dev/null | grep -E 'spring-ws-core'