38829

CNA: VMware
심각도: 낮음
생성 날짜: 2024년 11월 19일
CWE-178: 대소문자 민감도의 부적절한 처리
영향받는 버전:^Spring® LDAP 버전: 2.4.0 이전 모든 버전, 2.4.0부터 2.4.3까지, 3.0.0부터 3.0.9까지, 3.1.0부터 3.1.7까지, 3.2.0부터 3.2.7까지.
CVSS: 3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N

이 CVE는 TuxCare 팀과
에 의해 해결되었으며, ^Spring® 사용자를 위한 패치가 ELS에 제공되었습니다.

^봄을 위한 ELS®를 만나보세요

소셜에서 팔로우하기

개요

^Spring® LDAP는 Java 애플리케이션의 LDAP(경량 디렉터리 접근 프로토콜) 통합을 단순화하는 프레임워크입니다. LDAP 디렉터리와의 상호작용을 위한 템플릿 기반 접근 방식을 제공하여 복잡한 저수준 코드의 필요성을 제거합니다.

대소문자 민감도를 부적절하게 처리하면 리소스에 액세스하거나 리소스 속성을 결정할 때 대소문자 민감도의 차이를 제대로 고려하지 않아 결과가 일관되지 않은 상황이 발생할 수 있습니다.

이 CVE-2024-38829 취약점에서 ^Spring® LDAP는 대소문자를 구분하는 비교 시 민감한 데이터가 노출되는 문제에 영향을 받습니다 . 이는 CVE-2024-38820과 동일한 문제이지만^Spring® LDAP에 해당합니다. String.toLowerCase() 및 String.toUpperCase() 를 사용할 때 로케일에 따라 발생하는 일부 예외로 인해 의도하지 않은 열이 쿼리될 가능성이 있습니다.

이 문제는 여러 버전에 영향을 미칩니다:

org.springframework.ldap:spring-ldap-core 패키지,

Org.springframework.ldap:spring-ldap-odm 패키지.

취약점 서류
CVE ID	38829
위험도	낮음: 3.7
CWE-ID 및 유형	CWE-178 대소문자 민감도의 부적절한 처리
영향받는 프로젝트	^Spring® LDAP
영향을 받는 패키지	spring-ldap-core spring-ldap-odm
영향을 받는 버전	All prior to 2.4.0, <2.4.0;2.4.3>, <3.0.0;3.0.9>, <3.1.0;3.1.7>, <3.2.0;3.2.7>
NVD 게시 날짜	2024년 12월 4일(Spring.io: 2024년 11월 19일)
오픈 소스 수정 날짜	2024년 11월 14일
오픈 소스 고정 버전	2.4.4

38829에 대한 상세 분석

영향을 받는 제품: ^Spring® LDAP
영향을 받는 패키지:
- spring-ldap-core
- spring-ldap-odm
영향을 받는 버전:
- 2.4.0 이전 모든 버전
- 2.4.0 - 2.4.3
- 3.0.0 - 3.0.9
- 3.1.0 - 3.1.7
- 3.2.0 - 3.2.7
GitHub 리포지토리:
- https://github.com/spring-projects/spring-ldap
게시된 패키지:
- https://mvnrepository.com/artifact/org.springframework.ldap/spring-ldap-core
- https://mvnrepository.com/artifact/org.springframework.ldap/spring-ldap-odm
수정됨: 오픈 소스 커뮤니티 버전 2.4.4(기여: Josh Cummings) 및 버전 2.4.4를 기본으로 사용하는 Spring LDAP v2.4.4.TuxCare용 ELS에서.

취약점 정보

Java의 String.toLowerCase() 및 String.toUpperCase( ) 메서드는 대소문자 변환에 로캘별 규칙을 사용합니다. 이러한 규칙은 로캘에 따라 크게 다를 수 있으므로 문자열을 비교하거나 변환할 때 예기치 않은 결과가 발생할 수 있습니다. 예를 들어 프랑스어 로캘에서는 'œ' 및 'oe', 독일어 로캘에서는 'ß' 및 'ss' 등과 같은 특정 문자에 대해 고유한 대소문자 매핑 규칙이 있어 기본 동작에서 벗어날 수 있습니다.

이것이 왜 문제인가요?

로캘을 구분하는 변환에서 독일어 소문자 'ß '는 때때로 'ss'로 대체됩니다.
시스템에서 '스트래스'를 예상했지만 대신 '스트래스'를 가져오는 경우 인증, 보안 검사 또는 텍스트 비교가 중단될 수 있습니다.
사용자 아이디 또는 비밀번호에 'ß'가 포함되어 있으면 대소문자를 구분하지 않는 문자열 비교에서 대문자와 제대로 일치하지 않아 보안 취약점이나 인증 실패로 이어질 수 있습니다.

재현 단계

^Spring® 보안 애플리케이션 설정:
- 역할 기반 접근 제어(RBAC)를 위해^Spring® Security가 구성된^Spring® Boot 애플리케이션을 생성합니다.
대소문자 변형으로 역할을 정의합니다:
- 역할 이름이 대/소문자만 다른 사용자에게 역할을 할당합니다(예: "ADMIN" 및 "admin").
권한 부여 로직에서 케이스 변환을 구현합니다:
- 역할 이름을 정규화하기 위해 권한 부여 로직에 String.toLowerCase() 또는 String.toUpperCase()를 통합합니다.
애플리케이션 로캘을 고유 대/소문자 규칙이 있는 로캘로 설정합니다:
- 터키어(tr-TR)와 같은 특수 대/소문자 매핑이 있는 로캘을 사용하도록 애플리케이션을 구성합니다(예: 터키어 로캘의 'i' 및 'I' 등 특정 문자에 대한 대/소문자 매핑 규칙이 기본 동작과 다를 수 있음).
보호된 리소스에 액세스하려고 시도합니다:
- 특정 역할을 가진 사용자로 로그인하여 역할 기반 액세스 제어로 보호되는 리소스에 액세스하려고 시도합니다.

완화

^Spring® LDAP 2.4.x는 2023년 6월 30일을 최종 지원 종료일(End of Life)로 하여 오픈소스 커뮤니티에서 더 이상 지원되지 않습니다. 이는 해당 날짜 이후 버전에서는 이 문제를 해결하기 위한 업데이트가 제공되지 않음을 의미합니다.

영향을 받는 컴포넌트의 사용자는 다음 완화 조치 중 하나를 적용해야 합니다:

TuxCare의^Spring®용 무제한 라이프사이클 지원(ELS)^을 구현하십시오. 이는 지원 종료된^Spring® 프로젝트 버전에 대한 장기 보안 패치를 제공하며, 본 CVE의 영향을 받는 버전도 포함됩니다.
2.4.4 오픈 소스 커뮤니티 버전으로 업그레이드하고 커뮤니티에서 더 이상 보안 업데이트를 받지 못할 위험을 감수하세요.
또는, 수정 사항이 통합된 최신 지원 중인^Spring® Security 오픈소스 버전(예: 3.2.11)으로 업그레이드하기 위한 노력을 기울이십시오.

다른^Spring® Security 버전에 대한 이 취약점 패치가 필요하신가요? 문의해 주십시오. 저희가 도와드리겠습니다!