🇰🇷 한글 설명
Spring Expression Language(SpEL)의 평가 로직 취약점으로, 제한된 컨텍스트에서도 임의의 메서드가 호출될 수 있습니다. 이를 통해 공격자는 의도하지 않은 애플리케이션 로직을 실행할 수 있습니다.
💡 쉬운 설명
Spring 프레임워크의 수식 언어에 결함이 있어, 보안 제한이 있는 상황에서도 원치 않는 명령이 실행될 수 있습니다. 공격자는 이를 이용해 시스템의 정상적인 로직을 악용할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability in Spring Expression Language (SpEL) evaluation logic allows for arbitrary zero-argument method invocation, even within restricted or read-only contexts, which may allow an attacker to invoke unintended application logic.
Affected versions:
Spring Framework 7.0.0 through 7.0.7; 6.2.0 through 6.2.18; 6.1.0 through 6.1.27; 5.3.0 through 5.3.48.
📍 영향받는 시스템
Spring Framework 7.0.0-7.0.7, 6.2.0-6.2.18, 6.1.0-6.1.27, 5.3.0-5.3.48
⚔️ 공격 벡터
SpEL 표현식을 통해 제한된 환경에서도 임의의 메서드를 호출하여 애플리케이션 로직을 우회 실행
🛡️ 대응 방법
Spring Framework를 최신 안정 버전으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 7.0.8 이상, 6.2.19 이상, 6.1.28 이상, 5.3.49 이상인지 확인하여 패치되었는지 검증합니다.
mvn dependency:tree -Dincludes=org.springframework:spring-expression 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'