🇰🇷 한글 설명
Spring AI Vector Stores에서 특수 문자를 사용하여 Elasticsearch, OpenSearch, GemFire VectorDB에 임의의 쿼리를 강제로 실행할 수 있는 취약점이 발견되었습니다. 이로 인해 데이터베이스에 대한 비정상적인 접근이나 조작이 가능할 수 있습니다.
💡 쉬운 설명
데이터베이스에 질문을 던질 때 특수 기호를 섞어 넣으면, 원래 의도하지 않은 명령까지 실행되게 만드는 보안 구멍입니다. 이를 통해 해커가 데이터베이스의 정보를 몰래 빼내거나 조작할 위험이 있습니다.
🇺🇸 원문 (English)
In Spring AI Vector Stores, special characters could be used to force the execution of arbitrary queries in Elasticsearch, OpenSearch, and GemFire VectorDB. Affected components: spring-ai-elasticsearch-store, spring-ai-opensearch-store, spring-ai-gemfire-store.
Affected versions:
Spring AI 1.0.0 through 1.0.x (fix 1.0.9).
Spring AI 1.1.0 through 1.1.x (fix 1.1.8).
📍 영향받는 시스템
Spring AI 1.0.0~1.0.x (1.0.9 미만), 1.1.0~1.1.x (1.1.8 미만)
⚔️ 공격 벡터
Vector Store 쿼리 입력값에 특수 문자를 삽입하여 데이터베이스 명령어를 주입하는 방식
🛡️ 대응 방법
Spring AI 버전을 1.0.9 또는 1.1.8 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 spring-ai의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
mvn dependency:list | grep 'spring-ai-core'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Spring 제품 보안 업데이트 권고
P4
📅 2026-06-18 · sec_notice
Spring Framework 및 Spring Cloud 제품군에서 리소스 소비, 난수 생성 미흡, 검증 오류 등의 보안 취약점이 발견되었습니다. 해당 제품의 특정 버전을 사용하는 사용자는 보안 업데이트를 통해 최신 버전으로 업그레이드해야 합니다.