🇰🇷 한글 설명
Quarkus REST Data Panache에서 보안 제어를 우회할 수 있는 결함이 발견되었습니다. 개발자가 @MethodProperties를 사용하여 특정 작업을 사용자 정의할 때 보안 역할을 명시적으로 재선언하지 않으면, 코드 생성기가 클래스 수준의 보안 요구 사항을 자동으로 삭제합니다. 이로 인해 해당 엔드포인트가 인증 없이 접근 가능한 상태로 방치되어 정보 유출이나 데이터 변조가 발생할 수 있습니다.
💡 쉬운 설명
프로그램을 만들 때 보안 설정을 해두어도, 특정 기능을 수정하는 과정에서 보안 문이 자동으로 열려버리는 버그입니다. 해커가 로그인 없이도 중요한 데이터에 접근하거나 내용을 바꿀 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
A flaw was found in Quarkus REST Data Panache. This vulnerability allows unauthenticated attackers to bypass security controls on generated endpoints. When a developer customizes a specific operation using @MethodProperties without explicitly re-declaring security roles, the code generator silently drops class-level security requirements. This results in the affected endpoint defaulting to permissive, unauthenticated access, potentially leading to unauthorized information disclosure or data modification.
📍 영향받는 시스템
Quarkus REST Data Panache를 사용하는 애플리케이션
⚔️ 공격 벡터
인증되지 않은 공격자가 보안이 해제된 엔드포인트에 직접 요청을 보내 데이터에 접근하거나 조작
🛡️ 대응 방법
@MethodProperties 사용 시 보안 역할을 명시적으로 재선언하거나 Quarkus 최신 보안 패치 적용
🔧 검증 코드
출력 결과에 quarkus-rest-data-panache 라이브러리가 포함되어 있는지 확인
mvn dependency:tree | grep -E 'quarkus-rest-data-panache'