취약점 정보
Spring® Boot 애플리케이션은 Spring® Boot 로더와 함께 패키징될 때, "뚱뚱한 JAR"(즉, 모든 종속성이 포함된)에서 애플리케이션을 실행하기 위해 사용자 정의 클래스 로더를 사용합니다. 이 JAR에는 /BOOT-INF/lib 내에 중첩된 JAR들이 포함됩니다 .
이 취약점은 이러한 중첩된 JAR에 대한 Java의 서명 확인 메커니즘이 처리되는 방식에 있습니다. 애플리케이션이 표준 JDK API를 사용하여 중첩된 JAR의 디지털 서명을 확인하려고 하면, 중첩된 JAR이라 하더라도 확인이 잘못 성공할 수 있습니다:
- 예상 주체가 서명하지 않았거나
- 서명 후 변조되었습니다.
이는Spring® Boot 로더가 중첩된 JAR을 추출하고 로드할 때 서명된 JAR의 검증 컨텍스트를 완전히 보존하지 않기 때문입니다.
대부분의Spring® Boot 사용자에게는 영향을 미치지 않으며, 중첩된 JAR에 대한 사용자 정의 디지털 서명 검증 로직을 명시적으로 구현하지 않는 한 해당되지 않습니다.
이것이 왜 문제인가요?
Spring® Boot는 spring-boot-loader를 사용하여 애플리케이션을 독립 실행형 JAR로 패키징하며, 여기에는 다음이 포함됩니다:
- 앱 클래스(BOOT-INF/클래스)
- 종속성( 중첩된 JAR로서의BOOT-INF/lib )
조직에서 이러한 중첩된 JAR의 디지털 서명을 확인하려는 경우(예: 변조 여부 확인 또는 신뢰 확인), 검증이 자동으로 통과될 수도 있습니다:
- 중첩된 JAR이 수정되었습니다.
- 예상치 못한 또는 악의적인 서명자에 의해 서명이 생성되었습니다.
왜? 왜냐면:
- Java JAR 서명 모델은 중첩된 JAR을 위해 설계되지 않았습니다 .
- 스프링 부트로더는 원래 서명 확인 컨텍스트를 보존하지 않고 JAR을 추출 및 로드합니다 .
실제 영향력
- 공급망 신뢰 분석
- 신뢰할 수 있는 종속성(예: 공급업체에서 서명)만 로드하고 있다고 생각하지만 공격자가 JAR을 대체할 수 있으며 앱이 이를 확인된 것으로 잘못 보고할 수 있습니다.
- 보안 도구가 실패할 수 있습니다.
- 사용자 정의 로직, 보안 스캐너 또는 JarFile API를 사용하는 런타임 검증기는 수정된 중첩 콘텐츠의 유효성을 잘못 검사할 수 있습니다.
- 내부자 위협 또는 배포 위험
- 손상된 CI/CD 파이프라인은 변경된 JAR을 삽입할 수 있으며, 서명 검사를 통해 이를 포착할 수 없습니다.
시나리오 예시
- Spring® Boot 애플리케이션은 JarEntry.getCertificates()를 사용하여 중첩된 JAR(예: json-lib.jar)를 검증하며, 신뢰할 수 있는 서명을 기대합니다.
- 수정되거나 악의적인 버전의 json-lib.jar가 번들로 제공됩니다.
- Spring® Boot의 커스텀 클래스 로더를 통해 로드되기 때문에, 자바의 시그니처 API는 성공적인 검증을 반환합니다.
- 앱이 신뢰할 수 없는 코드를 안전하다고 믿고 실행합니다.
미묘하지만 위험한 이유
- 대부분의 앱은 JAR 서명의 유효성을 검사하지 않으므로 영향을 받지 않습니다.
- 그러나 보안에 민감한 환경 (예: 은행, 국방 또는 공급업체 마켓플레이스)에서는 무결성 검사가 약화되어 코드 실행 또는 데이터 유출 가능성이 있습니다.
완화
Spring® Boot 2.7.x는 2023년 6월 30일 지원 종료일(End of Life)이 지남에 따라 오픈소스 커뮤니티에서 더 이상 지원되지 않습니다. 이는 해당 날짜 이전 버전에 대해서는 이 문제를 해결하기 위한 업데이트가 제공되지 않음을 의미합니다.
영향을 받는 컴포넌트의 사용자는 다음 완화 조치 중 하나를 적용해야 합니다:
- 정기적인 커뮤니티 EoL 보안 지원을 연장하는 TuxCare의 무한 수명 주기 지원을 활용하고 패치를 적용하기만 하면 됩니다.
- 3.3.3+ 오픈 소스 커뮤니티 버전으로 업그레이드하면 2025년 6월 30일부터 커뮤니티에서 더 이상 보안 업데이트를 받지 못하는 위험을 감수해야 합니다.
- 또는, 영향을 받지 않는 최신 지원Spring® Framework 오픈소스 버전(예: 3.4.x)으로 업그레이드하여 2025년 말까지 커뮤니티 지원을 받으십시오.
- 신뢰할 수 있는 패키징 및 로딩 메커니즘을 사용하지 않는 한 중첩된 JAR에 대한 서명 확인에 의존하지 마세요.
- JAR 무결성을 위해 OS 수준의 보안 도구 또는 외부 검증기를 사용하세요.
다른Spring® Framework 버전에 대한 이 취약점 패치가 필요하신가요? 그렇다면 저희에게 연락해 주십시오. 도움을 드리겠습니다!
기술 지원
문서
로그인
문의하기
