🇰🇷 한글 설명
사용자가 제공한 Spring Expression Language (SpEL) 표현식을 평가하는 애플리케이션에서 알고리즘적 서비스 거부(DoS) 취약점이 발견되었습니다. 공격자가 특수 제작된 표현식을 입력하면 평가 과정에서 과도한 리소스가 소모되어 애플리케이션의 성능 저하 또는 가용성 손실이 발생할 수 있습니다.
💡 쉬운 설명
Spring Framework의 SpEL 기능에서 악의적인 입력을 통해 시스템 자원을 고갈시키는 공격이 가능합니다. 이를 방지하려면 해당 취약점이 있는 버전의 Spring Framework를 최신 안정 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
Applications that evaluate user-supplied Spring Expression Language (SpEL) expressions are vulnerable to an Algorithmic Denial of Service (DoS). By providing a specially crafted expression, an attacker can trigger excessive resource consumption during evaluation, leading to application degradation or unavailability.
Affected versions:
Spring Framework 7.0.0 through 7.0.7; 6.2.0 through 6.2.18; 6.1.0 through 6.1.27; 5.3.0 through 5.3.48.
📍 영향받는 시스템
Spring Framework 7.0.0-7.0.7, 6.2.0-6.2.18, 6.1.0-6.1.27, 5.3.0-5.3.48
⚔️ 공격 벡터
SpEL 표현식을 평가하는 애플리케이션에 악성 표현식을 주입하여 리소스 고갈 유발
🛡️ 대응 방법
Spring Framework를 최신 패치 버전으로 업그레이드하거나 SpEL 평가 시 입력 검증 강화
🔧 검증 코드
출력된 버전이 취약한 범위(예: 5.3.0-5.3.48 등)에 포함되는지 확인하여 업데이트 필요성 판단
mvn dependency:tree -Dincludes=org.springframework:spring-expression 2>/dev/null | grep 'spring-expression'