🇰🇷 한글 설명
Spring Tools의 Boot Dashboard를 통해 원격 애플리케이션에 DevTools 지원을 활성화할 때, 원격 재시작 업로드를 인증하는 공유 비밀번호가 암호학적으로 안전하지 않은 의사 난수 생성기를 사용하여 생성됩니다. 이로 인해 공격자가 예측 가능한 비밀번호를 생성하여 인증을 우회할 위험이 있습니다.
💡 쉬운 설명
프로그램을 원격으로 업데이트할 때 사용하는 비밀번호가 너무 단순한 규칙으로 만들어져서 해커가 맞출 수 있는 상태입니다. 해커가 이 비밀번호를 알아내면 여러분의 서버에 몰래 코드를 심을 수 있습니다.
🇺🇸 원문 (English)
When enabling Spring Boot DevTools support for a remote application target (for example a Docker container or Cloud Foundry app) from the Spring Tools Boot Dashboard, Spring Tools generates a shared secret that authenticates DevTools remote-restart uploads to the deployed application. This secret was generated using a non-cryptographic pseudo-random number generator rather than a cryptographically secure source of randomness.
Affected Spring Products and Versions:
Spring Tools for Eclipse: 5.2.0 and earlier
📍 영향받는 시스템
Spring Tools for Eclipse: 5.2.0 및 이전 버전
⚔️ 공격 벡터
예측 가능한 난수 생성 알고리즘을 이용한 공유 비밀번호 추측 및 인증 우회
🛡️ 대응 방법
Spring Tools for Eclipse를 최신 버전으로 업데이트하여 암호학적으로 안전한 난수 생성기를 사용하도록 조치하십시오.
🔧 검증 코드
설치된 Spring Tools의 버전을 확인하여 5.2.0 이하인지 확인하십시오.
echo 'Spring Tools for Eclipse' && eclipse -version 2>/dev/null || echo 'Check installed Eclipse plugins version'