🇰🇷 한글 설명
사용자가 입력한 Spring Expression Language(SpEL)를 평가하는 애플리케이션에서 발생할 수 있는 서비스 거부(DoS) 취약점입니다. BigDecimal 또는 BigInteger 피연산자에 거듭제곱 연산자(^)와 매우 큰 지수 값을 사용할 경우 시스템 자원을 과도하게 소모하게 됩니다.
💡 쉬운 설명
사용자가 입력한 특정 수학 계산식을 처리하는 과정에서 컴퓨터가 감당할 수 없는 엄청난 계산을 수행하게 만드는 공격입니다. 이로 인해 서버가 과부하에 걸려 정상적인 서비스를 제공하지 못하게 될 수 있습니다.
🇺🇸 원문 (English)
Applications that evaluate user-supplied Spring Expression Language (SpEL) expressions may be vulnerable to a Denial of Service (DoS) attack when the power operator (^) is used with a BigDecimal or BigInteger operand and a large exponent value.
Spring Framework 7.0.0 - 7.0.8
Spring Framework 6.2.0 - 6.2.19
Spring Framework 6.1.0 - 6.1.28
Spring Framework 6.0.0 - 6.0.30
Spring Framework 5.3.0 - 5.3.49
Spring Framework 5.2.25.RELEASE and earlier
📍 영향받는 시스템
Spring Framework 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49, 5.2.25.RELEASE 및 이전 버전
⚔️ 공격 벡터
SpEL 표현식 내에 거듭제곱 연산자(^)와 매우 큰 지수를 포함한 악의적인 입력값을 전달하여 서버 자원을 고갈시킴
🛡️ 대응 방법
Spring Framework를 취약점이 해결된 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 spring-core의 버전을 확인하여 취약한 버전 범위에 포함되는지 대조하십시오.
mvn dependency:list | grep spring-core