Spring Spring Data MongoDB, spring data mongodb 취약점
Spring Data MongoDB에는 SpEL(Spring Expression Language) 표현식 삽입 취약점이 있습니다. 이 문제는 사용자 정의 저장소 쿼리 메서드에 @Query가 지정되고 모든 항목을 포착하는 자리표시자를 사용할 때 매개변수 바인딩 과정에서 발생합니다. 영향받는 버전: Spring Data MongoDB 5.0.0부터 5.0.5까지, 4.5.0부터 4.5.11까지, 4.4.0부터 4.4.14까지, 4.3.0부터 4.3.16까지, 4.2.0부터 4.2.15까지, 4.1.0부터 4.1.14까지, 4.0.0부터 4.0.15까지, 3.4.0부터 3.4.19까지.
Spring Data MongoDB에는 SpEL(Spring Expression Language) 표현식 삽입 취약점이 있습니다. 이 문제는 사용자 정의 저장소 쿼리 메서드에 @Query가 지정되고 모든 항목을 포착하는 자리표시자를 사용할 때 매개변수 바인딩 과정에서 발생합니다. 영향받는 버전: Spring Data MongoDB 5.0.0부터 5.0.5까지, 4.5.0부터 4.5.11까지, 4.4.0부터 4.4.14까지, 4.3.0부터 4.3.16까지, 4.2.0부터 4.2.15까지, 4.1.0부터 4.1.14까지, 4.0.0부터 4.0.15까지, 3.4.0부터 3.4.19까지.
한국어 설명은 영문 원문을 기준으로 제공됩니다. 제품명·버전·보안 식별자는 아래 원문과 함께 확인할 수 있습니다.
영문 원문 보기
Spring Data MongoDB contains a SpEL (Spring Expression Language) expression injection vulnerability. The issue occurs during parameter binding when a user-defined repository query method is annotated with @Query and utilizes a capture-all placeholder. Affected versions: Spring Data MongoDB 5.0.0 through 5.0.5; 4.5.0 through 4.5.11; 4.4.0 through 4.4.14; 4.3.0 through 4.3.16; 4.2.0 through 4.2.15; 4.1.0 through 4.1.14; 4.0.0 through 4.0.15; 3.4.0 through 3.4.19.
Spring Data MongoDB의 현재 전체 버전이 공식 영향 범위(Spring Data MongoDB >= 5.0.0 < 5.0.5.1, >= 4.5.0 < 4.5.11.1, >= 4.4.0 < 4.4.15, >= 4.3.0 < 4.3.17, >= 4.2.0 < 4.2.16, >= 4.1.0 < 4.1.15, >= 4.0.0 < 4.0.16, >= 3.4.0 < 3.4.20, >= 4.5.0 <= 4.5.11.1)에 포함되는지 확인합니다. OS를 선택하면 해당 OS의 제품·패키지·KB·APAR 확인 명령만 표시됩니다.
조치방안
공식 보안 권고 원문에서 현재 제품·에디션·설치 방식이 3.4.20, 4.0.16, 4.1.15, 4.2.16, 4.3.17, 4.4.15, 5.0.5.1 기준의 대상인지 확인한 뒤 공급사 절차로 적용합니다.
조치 후 확인사항
패치 후 같은 명령으로 전체 버전을 다시 확인해 Spring Data MongoDB 3.4.20, 4.0.16, 4.1.15, 4.2.16, 4.3.17, 4.4.15, 5.0.5.1 기준을 충족하는지 확인합니다. 이어서 명령어·코드 인젝션 관련 오류·공격 흔적이 새로 발생하지 않는지 확인합니다.
