🇰🇷 한글 설명
Spring Framework의 AntPathMatcher 클래스에서 정규식 Denial of Service(ReDoS) 취약점이 발견되었습니다. 공격자가 악의적인 패턴을 제공하여 match, matchStart, extractUriTemplateVariables 메서드를 호출할 경우 서비스 거부 공격이 가능할 수 있습니다.
💡 쉬운 설명
이 취약점은 악의적인 입력을 통해 시스템의 정규식 처리 과정을 과도하게 느리게 만들어 서비스 마비를 유발할 수 있습니다. 공격자가 특정 패턴을 이용해 서버 자원을 고갈시킬 위험이 있습니다.
🇺🇸 원문 (English)
Applications may be vulnerable to a Regular Expression Denial of Service (ReDoS) attack if an attacker is able to provide a pattern which is then directly or indirectly supplied to one of the following methods in AntPathMatcher: match(String pattern, String path), matchStart(String pattern, String path), extractUriTemplateVariables(String pattern, String path).
Affected versions:
Spring Framework 7.0.0 through 7.0.7; 6.2.0 through 6.2.18; 6.1.0 through 6.1.27; 5.3.0 through 5.3.48.
📍 영향받는 시스템
Spring Framework 7.0.0-7.0.7, 6.2.0-6.2.18, 6.1.0-6.1.27, 5.3.0-5.3.48
⚔️ 공격 벡터
악의적으로 구성된 정규식 패턴을 AntPathMatcher의 메서드에 직접 또는 간접적으로 전달하여 재귀적 백트래킹을 유발
🛡️ 대응 방법
Spring Framework를 최신 안정 버전으로 업그레이드하거나, 입력값에 대한 정규식 패턴 검증 및 필터링을 강화
🔧 검증 코드
출력된 Spring Web 라이브러리 버전이 취약한 범위(예: 6.2.0 이상 6.2.18 이하 등)에 포함되는지 확인
mvn dependency:tree -Dincludes=org.springframework:spring-web 2>/dev/null | grep -E 'spring-web'