🇰🇷 한글 설명
DispatcherServlet과 함께 배포된 기능적 엔드포인트를 사용하는 WebFlux 애플리케이션에서 프리플라이트(pre-flight) 요청 시 헤더 조건부 검사(header predicate)를 우회할 수 있는 취약점이 발견되었습니다. 이로 인해 보안 설정이 의도치 않게 무력화될 수 있습니다.
💡 쉬운 설명
웹 브라우저가 서버에 데이터를 보내기 전 확인하는 사전 요청 단계에서 보안 검사를 속일 수 있는 결함입니다. 공격자가 설정해둔 보안 규칙을 피해 서버에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
A WebFlux application using functional endpoints and deployed with DispatcherServlet may be vulnerable to a header predicate bypass in a pre-flight request.
Spring Framework 7.0.0 - 7.0.8
Spring Framework 6.2.0 - 6.2.19
Spring Framework 6.1.0 - 6.1.28
Spring Framework 6.0.0 - 6.0.30
Spring Framework 5.3.0 - 5.3.49
Spring Framework 5.2.5.RELEASE - 5.2.25.RELEASE
📍 영향받는 시스템
Spring Framework 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49, 5.2.5.RELEASE-5.2.25.RELEASE
⚔️ 공격 벡터
조작된 헤더를 포함한 HTTP Pre-flight(OPTIONS) 요청을 통한 보안 조건부 검사 우회
🛡️ 대응 방법
Spring Framework를 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 spring-core의 버전을 확인하여 취약한 버전 범위에 포함되는지 대조합니다.
mvn dependency:list | grep 'org.springframework:spring-core'