🇰🇷 한글 설명
Spring Expression Language(SpEL)의 평가 로직에 정수 오버플로우 취약점이 존재합니다. 공격자가 악성 SpEL 식을 제공하면 과도한 자원 소모를 유발하여 서비스 거부(DoS)를 초래할 수 있습니다.
💡 쉬운 설명
Spring 프레임워크의 수식 계산 과정에서 숫자 처리 오류가 발생하여 시스템이 멈출 수 있는 문제입니다. 해커가 잘못된 명령어를 보내 서버가 과부하 상태가 되게 만들 수 있습니다.
🇺🇸 원문 (English)
An integer overflow vulnerability exists in the evaluation logic of the Spring Expression Language (SpEL). An attacker can exploit this by supplying a specially crafted SpEL expression that triggers excessive resource consumption, resulting in a Denial of Service (DoS).
Affected versions:
Spring Framework 5.3.0 through 5.3.48.
📍 영향받는 시스템
Spring Framework 5.3.0 through 5.3.48
⚔️ 공격 벡터
악성 SpEL 식을 통해 정수 오버플로우를 유발하여 서비스 거부 공격 수행
🛡️ 대응 방법
Spring Framework를 5.3.49 이상으로 업그레이드하거나 패치된 버전으로 업데이트
🔧 검증 코드
출력된 spring-expression 버전이 5.3.0 이상 5.3.48 이하인 경우 취약한 버전으로 확인됨
mvn dependency:tree -Dincludes=org.springframework:spring-expression 2>/dev/null | grep -E 'spring-expression'