38828

CNA: VMware
심각도: 심각도: 중간
생성 날짜: 2024년 11월 15일
CWE-400: 제어되지 않는 리소스 소비
영향받는 대상:^Spring® 프레임워크: Spring-web 버전: 5.3.0 이전 모든 버전, 5.3.0부터 5.3.41까지(5.3.39 제외). tuxcare.4
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

참고: 5.3.39.tuxcare.4 버전에서는 사용 가능한 최신 오픈 소스 커뮤니티 버전에 패치를 기본으로 적용합니다.

이 CVE는 TuxCare 팀과
에 의해 해결되었으며, ^Spring® 사용자를 위한 패치가 ELS에 제공되었습니다.

^봄을 위한 ELS®를 만나보세요

소셜에서 팔로우하기

개요

^Spring® 프레임워크는 자바 애플리케이션 구축을 위한 포괄적인 오픈소스 프레임워크입니다. 의존성 주입(DI), 측면 지향 프로그래밍(AOP), 트랜잭션 관리를 제공하여 자바 개발을 보다 모듈화되고 효율적으로 만듭니다.

^Spring® Web은 자바 기반 웹 애플리케이션 및 RESTful 서비스 구축을 위해 설계된^Spring® Framework의 모듈입니다. 서블릿 기반 요청 처리, REST API 지원,^Spring® Web MVC와의 통합 등 필수적인 웹 기능을 제공합니다. Spring® Web MVC는 ^Spring® Framework 내의 모듈로, 웹 애플리케이션 구축을 위한 강력한 모델-뷰-컨트롤러(MVC) 아키텍처를 제공합니다.

통제되지 않은 자원 소비는 제품이 제한된 자원의 할당 및 유지 관리를 적절히 제어하지 못하여 행위자가 소비되는 자원의 양에 영향을 미치고 결국 사용 가능한 자원이 고갈되는 상황을 초래할 수 있습니다.

CVE-2024-38828은^Spring® 프레임워크의 ^Spring® MVC 모듈 내 서비스 거부(DoS) 취약점을 식별합니다. 특히, @RequestBody 어노테이션과 byte[] 매개변수를 사용하는 컨트롤러 메서드가 취약합니다. 공격자는 대용량 페이로드를 전송하여 이를 악용할 수 있으며, 이는 과도한 메모리 소모와 잠재적인 애플리케이션 충돌로 이어질 수 있습니다.

이 문제는 여러 버전에 영향을 미칩니다:

org.springframework:spring-web 패키지.

취약점 서류
CVE ID	38828
위험도	중간: 5.3
CWE-ID 및 유형	CWE-287: 부적절 인증
영향을 받는 패키지	스프링-보안-암호화
영향을 받는 패키지	봄-웹
영향을 받는 버전	All prior 5.3.0, <5.3.0;5.3.41>
NVD 게시 날짜	2024년 11월 17일(Spring.io: 2024년 11월 15일)
TuxCare 수정 날짜	2025년 3월 28일
TuxCare 고정 버전	5.3.39tuxcare.4

38828에 대한 상세 분석

영향을 받는 제품:^Spring® 프레임워크
영향을 받는 패키지: 스프링-웹
영향을 받는 버전:
- 모든 이전 5.3.0
GitHub 리포지토리:
- https://github.com/spring-projects/spring-framework
게시된 패키지:
- https://mvnrepository.com/artifact/org.springframework/spring-web

수정된 버전: ELS for^Spring® 프레임워크: spring-web v5.3.39.TuxCare.4. 이 버전은 오픈소스 커뮤니티의 최신 버전 5.3.39를 기반으로 하며, 모든 TuxCare 패치가 적용되었습니다.

취약점 정보

^Spring® 프레임워크의 ^{Spring® MVC}모듈에는 CVE-2024-38828로 식별된 서비스 거부(DoS) 취약점이 존재합니다. 공격자는 @RequestBody 어노테이션과 byte[] 매개변수를 사용하는 컨트롤러 메서드를 악용하여 대용량 페이로드를 전송함으로써 과도한 메모리 소모 및 애플리케이션 충돌을 유발할 수 있습니다.

이것이 왜 문제인가요?

공격자는 의도적으로 대용량 입력을 생성할 수 있으며, 서버가 이를 수락할 경우 대량의 메모리가 할당되어 메모리 부족 예외가 발생할 수 있습니다. 서비스 거부(DoS) 공격처럼 들리지 않나요?
서버는 임의로 큰 요청 본문을 받아들여 바이트 배열로 직접 변환하기 때문에 메모리 부족 예외에 취약합니다. 이 문제는 입력 스트림을 사용하여 대용량 페이로드를 처리하고 서버 수준에서 요청 크기에 대한 최대 제한을 설정하면 어느 정도 완화할 수 있습니다. 완벽한 해결책은 아니지만 이러한 조치는 리소스 제약으로 인한 서버 충돌을 방지하는 데 도움이 될 수 있습니다.

완화

^Spring® Framework 5.3.x는 오픈소스 커뮤니티에서 더 이상 지원되지 않습니다. 해당 버전의 지원 종료일(End of Life)은 2023년 6월 30일입니다. 이는 단순히 해당 날짜 이후로 이 문제를 해결하기 위한 업데이트를 받지 못함을 의미합니다.

영향을 받는 컴포넌트의 사용자는 다음 완화 조치 중 하나를 적용해야 합니다:

정기적인 커뮤니티 EoL 보안 지원을 연장하는 TuxCare의 무한 수명 주기 지원을 활용하고 패치를 적용하기만 하면 됩니다.
지원되지 않는 버전에서는 요청 데이터를 보다 안전하게 처리하기 위해 @RequestBody byte[] 를 InputStream으로 대체하는 것이 좋습니다.
또는, 수정 사항이 통합된 최신 지원 중인^Spring® Framework 오픈소스 버전(예: 6.1.x 또는 6.2.x)으로 업그레이드하기 위한 노력을 기울이십시오.

다른^Spring® Framework 버전에 대한 이 취약점 패치가 필요하신가요? 문의해 주십시오 – 저희가 도와드리겠습니다!