🇰🇷 한글 설명
Spring for GraphQL에서 keepAlive 기능이 활성화된 WebSocket 클라이언트를 사용할 때 서비스 거부(DoS) 공격에 취약합니다. 공격자가 이를 악용할 경우 시스템 자원을 고갈시켜 정상적인 서비스를 방해할 수 있습니다.
💡 쉬운 설명
웹사이트와 서버가 연결을 유지하기 위해 주고받는 신호를 악용하여 서버를 마비시키는 공격입니다. 이로 인해 사용자들이 웹사이트에 접속하지 못하는 상황이 발생할 수 있습니다.
🇺🇸 원문 (English)
Spring for GraphQL is vulnerable to Denial of Service attacks when using the WebSocket client with keepAlive enabled.
Spring for GraphQL 2.0.0 - 2.0.4
Spring for GraphQL 1.4.0 - 1.4.6
Spring for GraphQL 1.3.0 - 1.3.9
📍 영향받는 시스템
Spring for GraphQL 2.0.0-2.0.4, 1.4.0-1.4.6, 1.3.0-1.3.9
⚔️ 공격 벡터
keepAlive가 활성화된 WebSocket 연결을 통한 자원 고갈 공격
🛡️ 대응 방법
Spring for GraphQL을 취약점이 해결된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 spring-graphql의 버전이 취약한 범위(1.3.x, 1.4.x, 2.0.x)에 해당하는지 확인합니다.
mvn dependency:list | grep 'spring-graphql'