🇰🇷 한글 설명
Spring Framework의 UriComponentsBuilder에서 외부 URL 파싱 시 호스트 검증 오류가 발생하여 SSRF 공격에 취약합니다. 이는 7.0.0~7.0.7 및 6.2.0~6.2.18 버전에서 확인됩니다.
💡 쉬운 설명
웹 애플리케이션이 외부에서 받은 URL을 처리할 때 잘못된 호스트 정보를 허용하는 버그입니다. 공격자가 이를 악용해 내부 서버에 접근하는 SSRF 공격이 가능합니다.
🇺🇸 원문 (English)
Due to incorrect host parsing, applications that rely on UriComponentsBuilder to parse and validate an externally provided URL string may be exposed to a server-side request forgery (SSRF) attack.
Affected versions:
Spring Framework 7.0.0 through 7.0.7; 6.2.0 through 6.2.18.
📍 영향받는 시스템
Spring Framework 7.0.0-7.0.7, 6.2.0-6.2.18
⚔️ 공격 벡터
외부에서 제공된 URL 문자열을 파싱하는 UriComponentsBuilder를 통한 SSRF
🛡️ 대응 방법
Spring Framework를 최신 안정 버전으로 업그레이드하세요.
🔧 검증 코드
출력된 Spring Web 라이브러리 버전이 6.2.19 이상 또는 7.0.8 이상인지 확인합니다.
mvn dependency:tree -Dincludes=org.springframework:spring-web 2>/dev/null | grep -E 'spring-web'