🇰🇷 한글 설명
WebSocket 연결을 지원하는 Spring WebFlux 애플리케이션에서 예외 발생 시 요청 헤더를 예외 사유에 포함하여 간접적으로 민감한 사용자 정보를 노출할 수 있는 취약점입니다. 이로 인해 공격자가 인증 토큰이나 세션 정보와 같은 중요 데이터를 탈취할 위험이 있습니다.
💡 쉬운 설명
웹사이트와 서버가 대화하는 과정에서 오류가 발생했을 때, 실수로 사용자의 비밀번호나 개인정보가 담긴 쪽지를 외부에 보여주는 문제입니다. 이 정보를 통해 해커가 사용자의 계정을 훔칠 수 있습니다.
🇺🇸 원문 (English)
A Spring WebFlux application that supports WebSocket connections may expose indirectly sensitive user information by including request headers in an exception reason.
Spring Framework 7.0.0 - 7.0.8
Spring Framework 6.2.0 - 6.2.19
Spring Framework 6.1.0 - 6.1.28
Spring Framework 6.0.0 - 6.0.30
Spring Framework 5.3.0 - 5.3.49
Spring Framework 5.2.25.RELEASE and earlier
📍 영향받는 시스템
Spring Framework 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49, 5.2.25.RELEASE 및 이전 버전
⚔️ 공격 벡터
WebSocket 연결 과정에서 의도적으로 오류를 유발하는 요청을 보내 예외 메시지에 포함된 헤더 정보를 탈취함
🛡️ 대응 방법
Spring Framework를 취약점이 해결된 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 spring-core의 버전이 취약 범위에 해당하는지 확인하십시오.
mvn dependency:list | grep 'org.springframework:spring-core'