🇰🇷 한글 설명
Spring for GraphQL의 Spring Data 페이지네이션 지원 기능에서 스크롤 가능한 쿼리의 인자를 처리할 때 발생하는 취약점입니다. 공격자가 악의적인 Connection 필드 쿼리를 조작하여 애플리케이션 메모리를 고갈시키거나 데이터베이스에 과도한 부하를 주어 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
공격자가 특수하게 조작된 요청을 보내 서버의 메모리를 가득 채우거나 데이터베이스를 마비시킬 수 있는 문제입니다. 이로 인해 웹 서비스가 느려지거나 완전히 멈출 수 있습니다.
🇺🇸 원문 (English)
Spring for GraphQL's Spring Data pagination support resolves arguments of a scrollable query and forwards the client-supplied values to the underlying repository. An attacker can forge a malicious query for a Connection field that can exhaust application memory or place significant, prolonged load on the underlying datastore, resulting in a Denial of Service.
Spring for GraphQL 2.0.0 - 2.0.4
Spring for GraphQL 1.4.0 - 1.4.6
Spring for GraphQL 1.2.0 - 1.3.9
📍 영향받는 시스템
Spring for GraphQL 2.0.0-2.0.4, 1.4.0-1.4.6, 1.2.0-1.3.9
⚔️ 공격 벡터
악의적으로 조작된 GraphQL Connection 필드 쿼리를 통한 리소스 고갈 공격
🛡️ 대응 방법
Spring for GraphQL을 취약점이 해결된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 현재 사용 중인 spring-graphql의 버전을 확인하여 취약 버전 범위에 포함되는지 체크합니다.
mvn dependency:tree | grep -E 'spring-graphql'