🇰🇷 한글 설명
JsonPulsarHeaderMapper가 신뢰할 수 있는 패키지를 확인하는 과정에서 접두사(prefix) 체크 방식을 사용하여 하위 패키지까지 암묵적으로 신뢰하는 취약점이 발견되었습니다. 또한, 신뢰 패키지 설정이 비어 있을 경우 안전한 기본 허용 목록을 적용하는 대신 모든 패키지를 신뢰하도록 동작하는 문제가 있습니다.
💡 쉬운 설명
특정 폴더를 믿기로 설정하면 그 폴더 안에 있는 모든 하위 폴더까지 무조건 믿어버리는 보안 허점이 있습니다. 또한, 믿을 목록을 비워두면 아무나 들어올 수 있게 문을 열어두는 것과 같은 위험한 상태가 됩니다.
🇺🇸 원문 (English)
JsonPulsarHeaderMapper matched type headers against trusted packages using a prefix check, meaning that trusting any package implicitly trusted all of its subpackages. Additionally, an empty trusted-packages configuration fell back to trusting all packages rather than applying a safe default allow-list.
Affected versions:
Spring for Apache Pulsar 2.0.0 through 2.0.5; 1.2.0 through 1.2.17; 1.1.0 through 1.1.17.
📍 영향받는 시스템
Spring for Apache Pulsar 2.0.0-2.0.5, 1.2.0-1.2.17, 1.1.0-1.1.17
⚔️ 공격 벡터
신뢰되지 않은 패키지에 포함된 악성 클래스를 헤더 매핑 과정에서 실행시켜 임의 코드 실행 유도
🛡️ 대응 방법
Spring for Apache Pulsar를 취약점이 해결된 최신 버전으로 업데이트하고 신뢰 패키지 설정을 명시적으로 구성하십시오.
🔧 검증 코드
출력된 결과에서 사용 중인 spring-pulsar의 버전이 취약 범위(1.1.x, 1.2.x, 2.0.x)에 포함되는지 확인하십시오.
mvn dependency:list | grep -E 'spring-pulsar'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Spring 제품 보안 업데이트 권고
P4
📅 2026-06-17 · sec_notice
Spring Framework 및 관련 라이브러리(Micrometer, Spring Security 등)에서 SSRF, XSS, RCE 가능성이 있는 다수의 취약점이 발견되었습니다. 해당 제품을 사용하는 사용자는 권고된 최신 버전으로 즉시 업데이트해야 합니다.