🇰🇷 한글 설명
Spring WS와 Spring Security 연동 시, 인증 실패 시 일반 오류 대신 계정 잠금 또는 비활성화 등 상세 계정 상태를 노출하는 취약점입니다. 공격자는 이를 통해 유효한 계정과 무효한 계정을 구분하고 계정 상태를 추론할 수 있습니다.
💡 쉬운 설명
로그인 실패 시 시스템이 '비밀번호 틀림'과 '계정 잠김'을 다르게 알려줘 해커가 유효한 계정명을 찾게 됩니다. 이는 보안상 위험한 정보 누출로, 일반 오류 메시지로 통일해야 합니다.
🇺🇸 원문 (English)
Several Spring WS integration paths with Spring Security could surface detailed account state (for example locked or disabled user semantics) to remote SOAP clients through exception messages or callback outcomes, instead of failing with generic authentication errors. That behavior assists remote attackers in distinguishing valid accounts from invalid ones and inferring lifecycle state.
Affected versions:
Spring Web Services 5.0.0 through 5.0.1; 4.1.0 through 4.1.3; 4.0.0 through 4.0.18; 3.1.0 through 3.1.8.
📍 영향받는 시스템
Spring Web Services 5.0.0-5.0.1, 4.1.0-4.1.3, 4.0.0-4.0.18, 3.1.0-3.1.8
⚔️ 공격 벡터
원격 SOAP 클라이언트를 통해 인증 예외 메시지 및 콜백 결과를 분석하여 계정 상태 정보 추출
🛡️ 대응 방법
Spring Web Services를 권장되는 최신 안정 버전으로 업그레이드하여 계정 상태 정보 노출 문제 해결
🔧 검증 코드
출력된 버전이 5.0.0-5.0.1, 4.1.0-4.1.3, 4.0.0-4.0.18, 3.1.0-3.1.8 범위 내에 있는지 확인하여 영향 여부 판단
mvn dependency:tree -Dincludes=org.springframework.ws:spring-ws-core 2>/dev/null | grep spring-ws-core