VMware Tanzu Spring Data Commons Property Binder Vulnerability
Spring Data Commons의 1.13부터 1.13.10 이전까지, 2.0부터 2.0.5 이전까지의 버전 및 더 오래되어 지원되지 않는 버전에는 특수 요소를 부적절하게 무력화하여 발생하는 property binder 취약점이 있습니다. 인증되지 않은 원격 악성 사용자(또는 공격자)는 Spring Data REST 기반 HTTP 리소스를 대상으로 하거나 Spring Data의 프로젝션 기반 요청 페이로드 바인딩을 사용하여 특수하게 조작된 요청 매개변수를 제공할 수 있으며, 이는 원격 코드 실행 공격으로 이어질 수 있습니다.
Spring Data Commons의 1.13부터 1.13.10 이전까지, 2.0부터 2.0.5 이전까지의 버전 및 더 오래되어 지원되지 않는 버전에는 특수 요소를 부적절하게 무력화하여 발생하는 property binder 취약점이 있습니다. 인증되지 않은 원격 악성 사용자(또는 공격자)는 Spring Data REST 기반 HTTP 리소스를 대상으로 하거나 Spring Data의 프로젝션 기반 요청 페이로드 바인딩을 사용하여 특수하게 조작된 요청 매개변수를 제공할 수 있으며, 이는 원격 코드 실행 공격으로 이어질 수 있습니다.
한국어 설명은 영문 원문을 기준으로 제공됩니다. 제품명·버전·보안 식별자는 아래 원문과 함께 확인할 수 있습니다.
영문 원문 보기
Spring Data Commons, versions prior to 1.13 to 1.13.10, 2.0 to 2.0.5, and older unsupported versions, contain a property binder vulnerability caused by improper neutralization of special elements. An unauthenticated remote malicious user (or attacker) can supply specially crafted request parameters against Spring Data REST backed HTTP resources or using Spring Data's projection-based request payload binding hat can lead to a remote code execution attack.
영향 제품·버전
제품 Spring by Pivotal Spring Framework, spring data commons, spring data rest
영향 버전 Spring by Pivotal Spring Framework, spring data commons, spring data rest >= Versions prior to 1.13 to 1.13.10, 2.0 to 2.0.5, and older unsupported versions, <= 1.12.10, >= 1.13.0 <= 1.13.10, >= 2.0.0 <= 2.0.5, >= 3.0.0 <= 3.0.5, <= 2.5.10, >= 2.6.0 <= 2.6.10, >= 1.0.1 <= 2.5.0, 1.0.0, 8.0.8.2.0, 8.0.8.3.0
Spring by Pivotal Spring Framework, spring data commons, spring data rest의 현재 전체 버전이 공식 영향 범위(Spring by Pivotal Spring Framework, spring data commons, spring data rest >= Versions prior to 1.13 to 1.13.10, 2.0 to 2.0.5, and older unsupported versions, <= 1.12.10, >= 1.13.0 <= 1.13.10, >= 2.0.0 <= 2.0.5, >= 3.0.0 <= 3.0.5, <= 2.5.10, >= 2.6.0 <= 2.6.10, >= 1.0.1 <= 2.5.0, 1.0.0, 8.0.8.2.0, 8.0.8.3.0)에 포함되는지 확인합니다. OS를 선택하면 해당 OS의 제품·패키지·KB·APAR 확인 명령만 표시됩니다.
조치방안
Apply updates per vendor instructions.
조치 후 확인사항
패치 후 같은 명령으로 전체 버전을 다시 확인해 수정 버전은 공급사 공식자료 확인 필요 기준을 충족하는지 확인합니다. 이어서 명령어·코드 인젝션 관련 오류·공격 흔적이 새로 발생하지 않는지 확인합니다.
