🇰🇷 한글 설명
신뢰할 수 없는 비정규화된 입력값을 메트릭 데이터(메트릭 이름, 태그 키 또는 태그 값 등)로 그대로 사용하는 취약점이 발견되었습니다. 이는 범용 계측 라이브러리에서 피해야 할 위험한 안티패턴입니다.
💡 쉬운 설명
사용자가 입력한 데이터를 검증 없이 시스템의 측정 데이터로 바로 사용하면 보안 문제가 생길 수 있습니다. 잘못된 데이터가 입력되어 시스템의 모니터링 기능을 방해하거나 혼란을 줄 수 있습니다.
🇺🇸 원문 (English)
Using untrusted, non-normalized input as-is for metrics data (such as metric names, tag keys, or tag values) is a dangerous antipattern that general-purpose instrumentation should never perform.
Micrometer 1.17.0
Micrometer 1.16.0 - 1.16.6
Micrometer 1.15.0 - 1.15.12
Micrometer 1.14.0 - 1.14.16
Micrometer 1.9.18 and earlier
📍 영향받는 시스템
Micrometer 1.17.0, 1.16.0-1.16.6, 1.15.0-1.15.12, 1.14.0-1.14.16, 1.9.18 및 이전 버전
⚔️ 공격 벡터
검증되지 않은 외부 입력값을 메트릭 이름이나 태그 값으로 주입하여 데이터 오염 유도
🛡️ 대응 방법
취약점이 해결된 최신 버전의 Micrometer로 업데이트하거나 입력값에 대한 정규화 및 검증 로직 적용
🔧 검증 코드
출력된 결과에서 micrometer의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
mvn dependency:list | grep 'io.micrometer:micrometer'