🇰🇷 한글 설명
Spring LDAP의 DirContextAuthenticationStrategy 구현체에서 사용자 이름은 존재하지만 비밀번호가 비어 있거나 null인 바인드 요청을 거부하지 않는 취약점이 발견되었습니다. 이로 인해 인증 과정에서 보안 결함이 발생할 수 있습니다.
💡 쉬운 설명
아이디만 입력하고 비밀번호를 입력하지 않아도 로그인이 허용될 수 있는 보안 구멍이 발견되었습니다. 이는 공격자가 비밀번호 없이 계정에 접근할 수 있는 위험을 초래합니다.
🇺🇸 원문 (English)
Spring LDAP's DirContextAuthenticationStrategy implementations do not reject a bind request where a non-empty username is paired with an empty or null password.
Affected versions:
Spring LDAP 2.4.0 through 2.4.4; 3.2.0 through 3.2.17; 3.3.0 through 3.3.7; 4.0.0 through 4.0.3.
📍 영향받는 시스템
Spring LDAP 2.4.0-2.4.4, 3.2.0-3.2.17, 3.3.0-3.3.7, 4.0.0-4.0.3
⚔️ 공격 벡터
비어 있는 비밀번호를 포함한 LDAP 바인드 요청을 전송하여 인증 우회 시도
🛡️ 대응 방법
Spring LDAP를 취약점이 해결된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 나타나는 spring-ldap-core의 버전이 취약 범위에 포함되는지 확인하십시오.
mvn dependency:tree | grep -E 'spring-ldap-core:[2.4\.|3.2\.|3.3\.|4.0\.]'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Spring 제품 보안 업데이트 권고
P4
📅 2026-06-17 · sec_notice
Spring Framework 및 관련 라이브러리(Micrometer, Spring Security 등)에서 SSRF, XSS, RCE 가능성이 있는 다수의 취약점이 발견되었습니다. 해당 제품을 사용하는 사용자는 권고된 최신 버전으로 즉시 업데이트해야 합니다.