🇰🇷 한글 설명
Spring Data의 내부 속성 조회 캐시가 공격자가 제공한 문자열을 캐시 키로 받아 영구적으로 저장하는 취약점입니다. 이를 통해 반복적인 요청을 보낼 경우 힙 메모리가 고갈되어 서비스 거부(DoS) 상태가 발생할 수 있습니다.
💡 쉬운 설명
공격자가 가짜 데이터를 계속 보내서 컴퓨터의 메모리를 가득 채워버리는 공격입니다. 이로 인해 서버가 더 이상 작동하지 못하고 멈출 수 있습니다.
🇺🇸 원문 (English)
Spring Data's internal property-lookup cache accepts and permanently retains attacker-supplied strings as cache keys, allowing heap exhaustion through repeated requests.
Affected versions:
Spring Data Commons 2.7.0 through 2.7.19; 3.3.0 through 3.3.16; 3.4.0 through 3.4.14; 3.5.0 through 3.5.11; 4.0.0 through 4.0.5.
📍 영향받는 시스템
Spring Data Commons 2.7.0-2.7.19, 3.3.0-3.3.16, 3.4.0-3.4.14, 3.5.0-3.5.11, 4.0.0-4.0.5
⚔️ 공격 벡터
조작된 속성 키를 포함한 반복적인 HTTP 요청을 통해 메모리 점유
🛡️ 대응 방법
Spring Data Commons를 취약점이 해결된 최신 버전으로 업데이트
🔧 검증 코드
출력된 spring-data-commons의 버전이 취약 범위에 포함되는지 확인
mvn dependency:list | grep 'spring-data-commons'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Spring 제품 보안 업데이트 권고
P4
📅 2026-06-17 · sec_notice
Spring Framework 및 관련 라이브러리(Micrometer, Spring Security 등)에서 SSRF, XSS, RCE 가능성이 있는 다수의 취약점이 발견되었습니다. 해당 제품을 사용하는 사용자는 권고된 최신 버전으로 즉시 업데이트해야 합니다.