🇰🇷 한글 설명
Quarkus OpenAPI Generator의 인증 필터가 OpenAPI 경로 템플릿을 너무 광범위하게 매칭하여 발생하는 보안 취약점입니다. 이로 인해 특정 작업에 설정된 보안 스키마가 경로가 유사한 다른 작업에도 적용되어, 인증 정보(Bearer 토큰, API 키 등)가 의도하지 않은 엔드포인트로 전송될 수 있습니다.
💡 쉬운 설명
인증 정보가 보호되어야 할 곳이 아닌 엉뚱한 주소로도 자동으로 전달될 수 있는 문제입니다. 이 과정에서 중요한 비밀번호나 토큰이 외부로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Quarkus OpenAPI Generator is Quarkus' extensions for generation of Rest Clients and server stubs generation. Prior to versions 2.11.1-lts, 2.16.0-lts, and 2.17.0, the generated authentication filter matches OpenAPI path templates too broadly when deciding whether to attach credentials. A security scheme configured for one operation can therefore be applied to a different same-method operation whose path only partially resembles the protected template, causing bearer tokens, API keys, or basic credentials to be sent to unintended endpoints. This issue has been patched in versions 2.11.1-lts, 2.16.0-lts, and 2.17.0.
📍 영향받는 시스템
Quarkus OpenAPI Generator versions prior to 2.11.1-lts, 2.16.0-lts, and 2.17.0
⚔️ 공격 벡터
경로 패턴이 유사한 다른 API 엔드포인트로 인증 정보가 자동 전송되는 것을 이용한 정보 유출
🛡️ 대응 방법
Quarkus OpenAPI Generator를 2.11.1-lts, 2.16.0-lts 또는 2.17.0 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 라이브러리 버전이 취약한 버전(2.11.1-lts, 2.16.0-lts, 2.17.0 미만)인지 확인하십시오.
mvn dependency:list | grep quarkus-openapi-generator