🇰🇷 한글 설명
Spring Integration의 JSON 객체 변환 과정에서 json__TypeId__ 헤더를 사용하여 역직렬화 대상을 결정합니다. 이 과정에서 허용 목록(allow-list) 없이 ClassUtils.forName을 통해 클래스를 해석하므로 임의의 클래스가 로드될 수 있는 취약점이 존재합니다.
💡 쉬운 설명
데이터를 주고받을 때 어떤 종류의 데이터인지 알려주는 이름표를 공격자가 마음대로 조작할 수 있습니다. 이를 통해 공격자가 원하지 않는 악성 프로그램을 실행하도록 유도할 수 있습니다.
🇺🇸 원문 (English)
Spring Integration's JSON to object conversion uses the json__TypeId__ header to choose the deserialization target type, and resolves that header value to a class with ClassUtils.forName and no type/package allow-list.
Spring Integration 7.1.0
Spring Integration 7.0.0 - 7.0.5
Spring Integration 6.5.0 - 6.5.10
Spring Integration 6.4.0 - 6.4.12
Spring Integration 5.5.21 and earlier
📍 영향받는 시스템
Spring Integration 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10, 6.4.0-6.4.12, 5.5.21 및 이전 버전
⚔️ 공격 벡터
조작된 json__TypeId__ 헤더를 포함한 JSON 메시지를 전송하여 원격에서 임의의 클래스를 로드함
🛡️ 대응 방법
Spring Integration을 취약점이 해결된 최신 버전으로 업데이트하거나, 역직렬화 시 허용 목록(allow-list)을 적용하도록 설정 변경
🔧 검증 코드
출력된 결과에서 사용 중인 spring-integration의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
mvn dependency:tree | grep -E 'spring-integration'