🇰🇷 한글 설명
Jetty 12 Core 리액티브 어댑터에서 실행되는 WebFlux 애플리케이션이 응답 쿠키를 직렬화할 때 sameSite 속성을 누락하는 취약점입니다. 이로 인해 CSRF(교차 사이트 요청 위조) 공격에 노출될 위험이 있습니다.
💡 쉬운 설명
웹사이트가 사용자 정보를 저장하는 쿠키를 만들 때 보안 설정(sameSite)을 빠뜨리는 문제입니다. 이 설정이 없으면 해커가 사용자의 권한을 도용해 가짜 요청을 보낼 수 있습니다.
🇺🇸 원문 (English)
A WebFlux application running on the Jetty 12 Core reactive adapter serializes response cookies without the sameSite attribute.
Spring Framework 7.0.0 - 7.0.8
Spring Framework 6.2.0 - 6.2.19
📍 영향받는 시스템
Spring Framework 7.0.0-7.0.8, 6.2.0-6.2.19 (Jetty 12 Core reactive adapter 사용 시)
⚔️ 공격 벡터
사용자가 악성 사이트를 방문했을 때, 브라우저가 대상 사이트로 인증 쿠키를 자동으로 포함하여 요청을 보내도록 유도하는 CSRF 공격
🛡️ 대응 방법
Spring Framework를 보안 패치가 적용된 최신 버전으로 업데이트하거나, 쿠키 설정 시 sameSite 속성을 명시적으로 지정해야 합니다.
🔧 검증 코드
출력된 결과에서 사용 중인 Spring Framework의 버전을 확인하여 취약한 범위에 해당하는지 체크합니다.
mvn dependency:tree | grep -E 'spring-framework|spring-webflux'