🇰🇷 한글 설명
Steeltoe 4.0.0부터 4.3.0 버전까지 EurekaDiscoveryClient가 레지스트리 응답을 처리할 때 잘못된 데이터 형식이 포함되어 있으면 전체 응답 처리를 중단하는 취약점이 존재합니다. 인스턴스를 등록하거나 업데이트할 수 있는 권한을 가진 공격자가 조작된 데이터를 전송하면, 연결된 모든 Steeltoe 클라이언트가 빈 목록이나 오래된 인스턴스 목록을 받게 되어 서비스 장애를 유발할 수 있습니다.
💡 쉬운 설명
서비스 목록을 불러오는 과정에서 잘못된 형식의 데이터를 끼워 넣어 시스템이 목록을 읽지 못하게 방해하는 공격입니다. 이로 인해 클라우드 기반 애플리케이션들이 서로를 찾지 못해 서비스가 정상적으로 작동하지 않을 수 있습니다.
🇺🇸 원문 (English)
Steeltoe is an open source project that provides a collection of libraries that helps users build cloud-native applications. From 4.0.0 until 4.3.0, EurekaDiscoveryClient deserializes the registry response as one unit, and an unrecognized actionType or status, a non-Boolean isCoordinatingDiscoveryServer, or a nonnumeric timestamp can abort the entire response. A principal that can register or update an instance can cause all connected Steeltoe clients to receive an empty or stale instance list until the malformed registration is removed. The JsonInstanceInfoConverter, BoolStringJsonConverter, and LongStringJsonConverter parsing paths are affected. This issue is distinct from the earlier DataCenterInfo.name parsing vulnerability. This issue is fixed in version 4.3.0.
📍 영향받는 시스템
Steeltoe versions 4.0.0 to 4.3.0
⚔️ 공격 벡터
인스턴스 등록/업데이트 권한을 가진 사용자가 조작된 JSON 응답(잘못된 타입의 데이터)을 전송
🛡️ 대응 방법
Steeltoe 라이브러리를 4.3.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
명령어 결과에 Steeltoe 버전이 4.0.0에서 4.3.0 사이로 나타나면 취약한 버전이 설치된 것입니다.
mvn dependency:list | grep -E 'steeltoe-.*:[0-4]\.[0-3]\.[0-9]'