22235

• 영향을 받는 제품:^Spring® Boot
• 영향을 받는 패키지: 스프링-부팅-액추에이터-자동 구성

• 영향을 받는 버전:
  • 2.7.0 – 2.7.24.2
  • 3.1.0 – 3.1.15.2
  • 3.2.0 – 3.2.13.2
  • 3.3.0 – 3.3.10
  • 3.4.0 – 3.4.4
  • 지원되지 않는 이전 버전도 영향을 받습니다.

• GitHub 리포지토리: https://github.com/spring-projects/spring-boot
• 게시된 패키지: https://mvnrepository.com/artifact/org.springframework.boot/spring-boot-actuator-autoconfigure

수정된 버전: ELS for^Spring® Boot v2.7.18.TuxCare.6

^Spring® Boot에서 EndpointRequest.to()는 EndpointRequest가 생성된 액추에이터 엔드포인트가 비활성화되었거나 노출되지 않은 경우 null/**에 대한 매처를 생성합니다.

^Spring® Boot 2.7.x는 2023년 6월 30일을 최종 지원 종료일(End of Life)로 하여 오픈소스 커뮤니티의 지원을 더 이상 받지 않습니다. 이는 해당 날짜 이후로 이 버전에 대한 업데이트가 제공되지 않음을 의미합니다.

영향을 받는 컴포넌트의 사용자는 다음 완화 조치 중 하나를 적용해야 합니다:

• 정기적인 커뮤니티 EoL 보안 지원을 연장하는 무한 수명 주기 지원의 TuxCare 지원 파트너를 활용하고 패치를 적용하기만 하면 됩니다.
• 3.3.11+ 오픈 소스 커뮤니티 버전으로 업그레이드하면 6월 30일부터 커뮤니티에서 더 이상 보안 업데이트를 받지 못할 수 있는 위험을 감수해야 합니다.
• 또는 영향을 받지 않는 최신 지원^Spring® Framework 오픈소스 버전(예: 3.4.5+)으로 업그레이드하는 노력을 기울여 2025년 말까지 커뮤니티 지원을 받으십시오.
• null`에 대한 요청을 처리하지 마세요. null`을 처리해야 하는 경우 강력한 보안 대책을 마련해야 합니다.
• EndpointRequest.to()`에서 참조하는 엔드포인트가 웹을 통해 올바르게 노출, 활성화 및 액세스 가능한지 확인합니다.

이 취약점에 대한 패치가 다른^Spring® Boot 버전에 필요한 경우, 저희에게 연락해 주십시오. 도움을 드리겠습니다!

• https://nvd.nist.gov/vuln/detail/CVE-2025-22235
• https://spring.io/security/cve-2025-22235
• https://github.com/advisories/GHSA-rc42-6c7j-7h5r