22234

1. 영향을 받는 제품:^Spring® Security
2. 영향을 받는 패키지: spring-security-crypto
   spring-security-core
3. 영향을 받는 버전:
   - 5.7.16만 해당
   - 5.8.16.tuxcare만 해당
   - 5.8.16.tuxcare.1만 해당
   - 5.8.16.tuxcare.2 전용
   - 5.8.18만 해당
   - 6.0.16 전용
   - 6.1.14 전용
   - 6.2.10 only
   - 6.3.8만 해당
   - 6.4.4만 해당
4. GitHub 리포지토리:
   - https://github.com/spring-projects/spring-security
5. 게시된 패키지:
   - https://mvnrepository.com/artifact/org.springframework.security/spring-security-crypto
   - https: //mvnrepository.com/artifact/org.springframework.security/spring-security-core
6. 수정된 버전:ELS for^Spring® Security v5.8.16.TuxCare.3

취약점 정보

이 결함은 CVE-2025-22228에 대한 패치의 결과로 BCryptPasswordEncoder에 도입된 오류에서 비롯되었습니다. 이 변경으로 인해 이전에 DaoAuthenticationProvider에 존재했던 타이밍 공격 완화 기능이 실수로 중단되었습니다. 그 결과 원격 공격자는 예외 유형이나 다른 시간 응답을 통해 이 사용자 이름이 존재하는지 여부를 식별할 수 있습니다. 이를 사용자 열거라고 하며, 공격자는 유효한 사용자 이름 목록을 만들 수 있습니다.

공격자가 실제 사용자 이름을 확보하면 다음과 같은 행동을 할 수 있습니다:

• 무차별 암호 대입 공격 수행
• 피싱 캠페인 시작
• 비밀번호 재설정 또는 계정 복구 기능 활용하기

1. 취약한 버전의^Spring® Security를 설정하십시오.
2. BCryptPasswordEncoder와 함께 DaoAuthenticationProvider를 사용하도록 인증을 구성합니다.
3. Validate timing consistency with password <72 in length.
4. 잘못된 사용자 아이디로 인해 BadCredentialsException이 발생하는지 확인하고, 응답 시간을 잘못된 비밀번호를 사용한 유효한 사용자 아이디와 비교합니다. 두 경우의 시간이 거의 동일해야 타이밍 공격에 대한 완화 효과를 입증할 수 있습니다.
5. 길이가 72자 이상인 긴 비밀번호로 테스트하세요.
6. 72자보다 긴 비밀번호로 유효한 사용자를 인증하려고 시도합니다. 취약한 버전에서는 BCrypt가 긴 비밀번호를 처리하는 방식에 따라 다른 예외 또는 동작이 트리거된다는 점에 유의하세요.

^Spring® Security 5.8.x는 2023년 12월 31일을 최종 지원 종료일(End of Life)로 하여 오픈소스 커뮤니티의 지원을 더 이상 받지 않습니다. 이는 해당 날짜 이후 해당 버전에 대한 문제 해결을 위한 업데이트가 제공되지 않음을 의미합니다.

영향을 받는 컴포넌트의 사용자는 다음 완화 조치 중 하나를 적용해야 합니다:

• 정기적인 커뮤니티 EoL 보안 지원을 연장하는 무한 수명 주기 지원의 TuxCare 지원 파트너를 활용하고 패치를 적용하기만 하면 됩니다.
• 또는 수정 사항이 통합된 최신 지원 중인^Spring® Security 오픈 소스 버전(6.3.9 또는 6.4.5)으로 업그레이드하는 노력을 기울이십시오.

다른^Spring® Security 버전에 대한 이 취약점 패치가 필요하신 경우, 저희에게 연락해 주십시오. 도움을 드리겠습니다!

• https://spring.io/security/cve-2025-22234
• https://www.cybersecurity-help.cz/vdb/SB2025042310