🇰🇷 한글 설명
JdbcMessageStore를 Spring 관리 빈(Bean)으로 사용할 경우, addAllowedPatterns() 메서드를 통해 역직렬화 허용 패턴을 제한하더라도 실제로는 아무런 보호를 받지 못하는 취약점입니다. 이로 인해 공격자가 악성 객체를 주입하여 원격 코드 실행을 시도할 수 있습니다.
💡 쉬운 설명
데이터를 읽어올 때 허용된 목록만 읽도록 설정했음에도 불구하고, 설정이 제대로 적용되지 않아 위험한 데이터가 들어올 수 있는 상태입니다. 해커가 조작된 데이터를 보내 시스템을 장악할 위험이 있습니다.
🇺🇸 원문 (English)
An operator who calls JdbcMessageStore.addAllowedPatterns(...) to restrict deserialization receives no protection at all when the store is a Spring-managed bean.
Spring Integration 7.1.0
Spring Integration 7.0.0 - 7.0.5
Spring Integration 6.5.0 - 6.5.10
Spring Integration 6.4.0 - 6.4.12
📍 영향받는 시스템
Spring Integration 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10, 6.4.0-6.4.12
⚔️ 공격 벡터
Spring 관리 빈으로 설정된 JdbcMessageStore를 통해 악성 직렬화 객체를 주입하는 방식
🛡️ 대응 방법
Spring Integration을 취약점이 해결된 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 사용 중인 spring-integration의 버전이 취약한 범위에 포함되는지 확인하십시오.
mvn dependency:tree | grep -E 'spring-integration-(core|jdbc)'