🇰🇷 한글 설명
Steeltoe 4.3.0 미만 버전의 /actuator/httpexchanges 엔드포인트에서 쿼리 스트링에 포함된 민감한 정보가 마스킹되지 않고 노출되는 취약점이 발견되었습니다. 이로 인해 OAuth 토큰, 비밀번호 재설정 토큰, API 키 등이 엔드포인트 호출자나 로그를 통해 유출될 수 있습니다.
💡 쉬운 설명
웹사이트 주소 뒤에 붙는 비밀번호나 인증 키 같은 중요한 정보들이 제대로 가려지지 않고 그대로 노출되는 문제입니다. 해커가 이 정보를 가로채면 사용자의 계정을 탈취하거나 시스템에 무단 접속할 수 있습니다.
🇺🇸 원문 (English)
Steeltoe is an open source project that provides a collection of libraries that helps users build cloud-native applications. Prior to 4.3.0, the Steeltoe.Management.Endpoint /actuator/httpexchanges endpoint passes recorded request URIs through MaskedUri, which masks URI user information but does not inspect query strings. When Management:Endpoints:HttpExchanges:IncludeQueryString is enabled, the HttpExchangeRequest response can disclose OAuth tokens, password-reset tokens, signed-URL signatures, API keys, and other query-string secrets from prior traffic to a caller that can reach the explicitly exposed endpoint. The Steeltoe.Management.Endpoint.Actuators.HttpExchanges DEBUG logger also records these URIs, creating a second disclosure channel for users with log access. This issue is fixed in version 4.3.0.
📍 영향받는 시스템
Steeltoe versions prior to 4.3.0
⚔️ 공격 벡터
노출된 /actuator/httpexchanges 엔드포인트에 접근하여 쿼리 스트링에 포함된 민감한 데이터를 탈취
🛡️ 대응 방법
Steeltoe 라이브러리를 4.3.0 버전 이상으로 업데이트
🔧 검증 코드
출력된 결과에서 steeltoe-management-endpoint의 버전이 4.3.0 미만인지 확인
mvn dependency:tree | grep -E 'steeltoe-management-endpoint'