🇰🇷 한글 설명
JsonKafkaHeaderMapper 및 DefaultKafkaHeaderMapper가 기본 신뢰 패키지 목록에 java.net을 포함하고 있습니다. 이로 인해 @KafkaListener를 사용하는 모든 기본 설정 환경에서 외부 Kafka 프로듀서가 spring_json_header_types 헤더를 통해 java.net.InetAddress 타입을 주입할 수 있습니다.
💡 쉬운 설명
카프카 메시지를 처리할 때 허용되지 않은 데이터 형식이 들어올 수 있는 보안 허점이 발견되었습니다. 공격자가 특수한 메시지를 보내 시스템 내부의 정보를 알아내거나 문제를 일으킬 수 있습니다.
🇺🇸 원문 (English)
JsonKafkaHeaderMapper and DefaultKafkaHeaderMapper include java.net in their default trusted packages list. When these mappers are used — which is the default configuration for all @KafkaListener consumers — an external Kafka producer can inject a java.net.InetAddress type via the spring_json_header_types message header.
Spring for Apache Kafka 4.1.0
Spring for Apache Kafka 4.0.0 - 4.0.6
Spring for Apache Kafka 3.0.0 - 3.3.16
Spring for Apache Kafka 2.9.0 - 2.9.14
Spring for Apache Kafka 2.8.12 and earlier
📍 영향받는 시스템
Spring for Apache Kafka 4.1.0, 4.0.0-4.0.6, 3.0.0-3.3.16, 2.9.0-2.9.14, 2.8.12 및 이전 버전
⚔️ 공격 벡터
외부 Kafka 프로듀서가 spring_json_header_types 메시지 헤더에 java.net.InetAddress 타입을 주입하여 공격
🛡️ 대응 방법
Spring for Apache Kafka를 보안 패치가 적용된 최신 버전으로 업데이트하거나 신뢰 패키지 목록에서 java.net을 제거해야 합니다.
🔧 검증 코드
출력된 결과에서 사용 중인 spring-kafka의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
mvn dependency:tree | grep -E 'spring-kafka'