🇰🇷 한글 설명
Spring Security의 내장 UnboundID LDAP 서버(UnboundIdContainer)가 관리자 자격 증명을 무조건적으로 등록하고 리스너를 모든 네트워크 인터페이스에 바인딩합니다. 이로 인해 외부에서 인증 없이 관리자 권한으로 접근할 수 있는 심각한 보안 취약점이 발생합니다.
💡 쉬운 설명
보안 프로그램 내부에 관리자 비밀번호가 자동으로 설정되어 있고, 누구나 접속할 수 있는 문이 열려 있는 상태입니다. 해커가 이 문을 통해 들어오면 시스템의 관리자 권한을 쉽게 탈취할 수 있습니다.
🇺🇸 원문 (English)
Spring Security's embedded UnboundID LDAP server (UnboundIdContainer) unconditionally registers an administrative credential and binds its listener to all available network interfaces.
Spring Security 7.1.0
Spring Security 7.0.0 - 7.0.6
Spring Security 6.5.0 - 6.5.11
Spring Security 6.4.0 - 6.4.18
Spring Security 5.8.0 - 5.8.27
Spring Security 5.7.0 - 5.7.25
📍 영향받는 시스템
Spring Security 7.1.0, 7.0.0-7.0.6, 6.5.0-6.5.11, 6.4.0-6.4.18, 5.8.0-5.8.27, 5.7.0-5.7.25
⚔️ 공격 벡터
네트워크를 통해 노출된 LDAP 포트로 관리자 자격 증명을 사용하여 무조건적인 접근 시도
🛡️ 대응 방법
취약점이 해결된 최신 버전의 Spring Security로 업데이트하거나 UnboundIdContainer 설정을 수정하여 외부 노출을 차단해야 합니다.
🔧 검증 코드
출력된 결과에서 현재 프로젝트에 사용 중인 Spring Security의 버전을 확인하여 취약 범위에 해당하는지 체크합니다.
mvn dependency:tree | grep -E 'spring-security-core'