38827

CNA: VMware
심각도: 심각도: 중간
생성 날짜: 2024년 11월 19일
CWE-639: 사용자 제어 키를 통한 인증 우회
영향을 받는^Spring® Security 버전: 5.6.12 이하, 5.7.0부터 6.3.3까지(단, 5.7.14 이상 제외), 5.8.16, 6.0.14 이상, 6.1.12 이상, 6.2.8 이상
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

이 CVE는 TuxCare 팀과
에 의해 해결되었으며, ^Spring® 사용자를 위한 패치가 ELS에 제공되었습니다.

^봄을 위한 ELS®를 만나보세요

소셜에서 팔로우하기

개요

^Spring® Security는 Java 애플리케이션, 특히^Spring® Framework를 사용하여 구축된 애플리케이션을 위한 강력한 인증 및 접근 제어 프레임워크입니다. 이 프레임워크는 인증, 권한 부여, 일반적인 보안 취약점으로부터의 보호 등 다양한 문제를 해결하는 포괄적인 보안 솔루션을 제공합니다.

사용자 제어 키를 통한 인증 우회는 시스템의 인증 기능이 데이터를 식별하는 키 값을 수정하여 한 사용자가 다른 사용자의 데이터 또는 기록에 액세스하는 것을 막지 못할 때 발생합니다.

이 CVE에서 ^Spring®^Security는 대소문자를 구분하는 비교 시 발생하는 인증 우회 취약점의 영향을 받습니다. 이는 CVE-2024-38820과 동등한 수준이지만^Spring® Security에 해당합니다. String.toLowerCase() 및 String.toUpperCase() 메서드 사용 시 로케일에 따라 예외가 발생할 수 있으며, 이로 인해 인증 규칙이 제대로 작동하지 않을 가능성이 있습니다.

이 문제는 여러 버전의
org.springframework.security:spring-security-taglibs 패키지.
org.springframework.security:spring-security-cas 패키지, org.springframework.security:spring-security-config 패키지,
Org.springframework.security:spring-security-core 패키지,
Org.springframework.security:spring-security-crypto 패키지,
Org.springframework.security:spring-security-data 패키지,
Org.springframework.security:spring-security-ldap 패키지, org.springframework.security:spring-security-oauth2-client 패키지, org.springframework.security:spring-security-taglibs 패키지, org.springframework.security:spring-security-web 패키지.

취약점 서류
CVE ID	38827
위험도	중간: 4.8
CWE-ID 및 유형	CWE-639 사용자 제어 키를 통한 인증 우회
영향받는 프로젝트	^Spring® 보안
영향을 받는 패키지	spring-security-cas spring-security-config spring-security-core spring-security-crypto spring-security-data spring-security-ldap spring-security-oauth2-client spring-security-taglibs spring-security-web
영향을 받는 버전	5.6.2 and older, <5.7.0;5.7.13>, <5.8.0;5.8.15>, <6.0.0;6.0.13>, <6.1.0;6.1.11>, <6.2.0;6.2.7>, <6.3.0;6.3.4>
NVD 게시 날짜	2024년 12월 2일(Spring.io: 2024년 11월 19일)
오픈 소스 수정 날짜	2024년 11월 18일
오픈 소스 고정 버전	5.8.16

38827에 대한 상세 분석

영향을 받는 제품: ^Spring® Security
영향을 받는 패키지:
- spring-security-cas
- spring-security-config
- spring-security-core
- spring-security-crypto
- spring-security-data
- spring-security-ldap
- spring-security-oauth2-client
- spring-security-taglibs
- spring-security-web
영향을 받는 버전
- 5.6.12 이상
- 5.7.0 - 5.7.13
- 5.8.0 - 5.8.15
- 6.0.0 - 6.0.13
- 6.1.0 - 6.1.11
- 6.2.0 - 6.2.7
- 6.3.0 - 6.3.
GitHub 리포지토리:
- https://github.com/spring-projects/spring-security
게시된 패키지:
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-config
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-core
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-crypto
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-data
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-ldap
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-oauth2-client
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-taglibs
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-web https://mvnrepository.com/artifact/org.springframework.security/spring-security-cas

수정된 버전: 오픈소스 커뮤니티 버전 5.6.16 (기여자: Joe Grandja) 및 ELS for^Spring® Security v5.8.16. TuxCare는 5.8.16 버전을 기준 버전으로 사용합니다.

취약점 정보

Java의 String.toLowerCase() 및 String.toUpperCase( ) 메서드는 대소문자 변환에 로캘별 규칙을 사용합니다. 이러한 규칙은 로캘에 따라 크게 다를 수 있으므로 문자열을 비교하거나 변환할 때 예기치 않은 결과가 발생할 수 있습니다. 예를 들어 프랑스어 로캘에서는 'œ' 및 'oe', 독일어 로캘에서는 'ß' 및 'ss' 등과 같은 특정 문자에 대해 고유한 대소문자 매핑 규칙이 있어 기본 동작에서 벗어날 수 있습니다.

이것이 왜 문제인가요?

로캘을 구분하는 변환에서 독일어 소문자 'ß '는 때때로 'ss'로 대체됩니다.
시스템에서 '스트래스'를 예상했지만 대신 '스트래스'를 가져오는 경우 인증, 보안 검사 또는 텍스트 비교가 중단될 수 있습니다.
사용자 아이디 또는 비밀번호에 'ß'가 포함되어 있으면 대소문자를 구분하지 않는 문자열 비교에서 대문자와 제대로 일치하지 않아 보안 취약점이나 인증 실패로 이어질 수 있습니다.

재현 단계

^Spring® 보안 애플리케이션 설정:
- 역할 기반 접근 제어(RBAC)를 위해^Spring® Security가 구성된^Spring® Boot 애플리케이션을 생성합니다.
대소문자 변형으로 역할을 정의합니다:
- 역할 이름이 대/소문자만 다른 사용자에게 역할을 할당합니다(예: "ADMIN" 및 "admin").
권한 부여 로직에서 케이스 변환을 구현합니다:
- 역할 이름을 정규화하기 위해 권한 부여 로직에 String.toLowerCase() 또는 String.toUpperCase( )를 통합합니다.
애플리케이션 로캘을 고유 대/소문자 규칙이 있는 로캘로 설정합니다:
- 터키어(tr-TR)와 같은 특수 대/소문자 매핑이 있는 로캘을 사용하도록 애플리케이션을 구성합니다(예: 터키어 로캘의 'i' 및 'I' 등 특정 문자에 대한 대/소문자 매핑 규칙이 기본 동작과 다를 수 있음).
보호된 리소스에 액세스하려고 시도합니다:
- 특정 역할을 가진 사용자로 로그인하여 역할 기반 액세스 제어로 보호되는 리소스에 액세스하려고 시도합니다.

완화

^Spring® Security 5.8.x는 2023년 12월 31일을 최종 지원 종료일(End of Life)로 하여 오픈소스 커뮤니티의 지원을 더 이상 받지 않습니다. 이는 해당 날짜 이후 버전에는 이 문제를 해결하기 위한 업데이트가 제공되지 않음을 의미합니다.

영향을 받는 컴포넌트의 사용자는 다음 완화 조치 중 하나를 적용해야 합니다:

정기적인 커뮤니티 EOL 보안 지원을 연장하는 TuxCare의 무한 수명 주기 지원을 활용하고 패치를 적용하기만 하면 됩니다.
5.8.16 오픈 소스 커뮤니티 버전으로 업그레이드하고 커뮤니티에서 더 이상 보안 업데이트를 받지 못할 위험을 감수하세요.
또는, 통합된 수정 사항이 포함된 최신 지원 중인^Spring® Security 오픈 소스 버전(예: 6.3.8)으로 업그레이드하기 위한 노력을 기울이십시오.

다른^Spring® Security 버전에 대한 이 취약점 패치가 필요하신가요? 문의해 주세요 – 저희가 도와드리겠습니다!