🇰🇷 한글 설명
Spring Data REST에서 불변 대상 유형에 대해 HTTP PUT 요청을 처리할 때, 애그리거트 루트의 영속성 버전(@Version) 속성이 보존되지 않는 취약점입니다. 이로 인해 낙관적 잠금(Optimistic Locking) 메커니즘이 제대로 작동하지 않을 수 있습니다.
💡 쉬운 설명
데이터를 수정할 때 버전 번호를 확인하여 충돌을 방지하는 기능이 제대로 작동하지 않는 문제입니다. 이로 인해 여러 사람이 동시에 데이터를 수정할 때 데이터가 꼬일 위험이 있습니다.
🇺🇸 원문 (English)
Spring Data REST does not preserve the persisted version (@Version) property of an aggregate root when handling an HTTP PUT against an immutable target type.
Spring Data REST 5.1.0
Spring Data REST 5.0.0 - 5.0.6
Spring Data REST 4.5.0 - 4.5.12
Spring Data REST 4.0.0 - 4.4.15
Spring Data REST 3.7.20 and earlier
📍 영향받는 시스템
Spring Data REST 5.1.0, 5.0.0-5.0.6, 4.5.0-4.5.12, 4.0.0-4.4.15, 3.7.20 및 이전 버전
⚔️ 공격 벡터
HTTP PUT 요청을 통해 불변 대상 유형의 데이터를 수정하여 버전 관리 기능을 우회함
🛡️ 대응 방법
Spring Data REST를 취약점이 해결된 최신 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 사용 중인 spring-data-rest의 버전을 확인하여 취약 버전 범위에 포함되는지 체크합니다.
mvn dependency:tree | grep spring-data-rest