🇰🇷 한글 설명
Spring Data REST가 예외 발생 시 전체 예외 원인 체인을 HTTP 오류 응답 본문에 직렬화하여 전송합니다. 이로 인해 데이터베이스 계층의 내부 정보가 HTTP 클라이언트에 노출될 위험이 있습니다.
💡 쉬운 설명
프로그램에 오류가 발생했을 때, 보안상 숨겨야 할 시스템 내부 정보가 에러 메시지에 포함되어 외부로 유출될 수 있는 문제입니다. 해커는 이 정보를 통해 시스템의 구조를 파악할 수 있습니다.
🇺🇸 원문 (English)
Spring Data REST serializes the full exception cause chain into HTTP error response bodies, potentially exposing persistence-layer internals to HTTP clients.
Affected versions:
Spring Data REST 3.7.0 through 3.7.19; 4.3.0 through 4.3.16; 4.4.0 through 4.4.14; 4.5.0 through 4.5.11; 5.0.0 through 5.0.5.
📍 영향받는 시스템
Spring Data REST 3.7.0-3.7.19, 4.3.0-4.3.16, 4.4.0-4.4.14, 4.5.0-4.5.11, 5.0.0-5.0.5
⚔️ 공격 벡터
의도적인 오류를 유발하여 HTTP 응답 메시지에 포함된 상세 예외 스택 트레이스 및 내부 구조 정보 탈취
🛡️ 대응 방법
Spring Data REST를 보안 패치가 적용된 최신 버전으로 업데이트하거나, 전역 예외 처리기를 통해 응답 메시지를 제한함
🔧 검증 코드
출력된 결과에 포함된 spring-data-rest의 버전이 취약 버전 범위에 해당하는지 확인
mvn dependency:tree | grep -E 'spring-data-rest:[3-5]\.'