Spring Framework에서 발견된 Spring4Shell 취약점

최근, 웹 애플리케이션 개발 프레임워크인 Spring에서 CVE-2022-22965 취약점이 발견됐다.

 

해당 취약점은 "Spring4Shell" 이라고 불리며 JDK 9 버전 이상에서 실행되는 Spring MVC 또는 Spring WebFlux 애플리케이션에서 데이터 바인딩을 통한 원격 코드 실행 취약점으로 밝혀졌다. 또한, 이 취약점의 영향을 받는 버전은 JDK 9 이상 버전을 사용하는 Spring Framework 5.3.0 ~ 5.3.17, 5.2.0 ~ 5.2.19 및 이전 버전이며 JDK 8 이하 버전을 사용하는 경우 영향을 받지 않는다고 알려졌다.

 

KISA는 해당 취약점이 해결된 Spring Framework 5.3.18 및 5.2.20 버전으로 업데이트 할 것을 권고했다.

 

 

출처

[1] KISA (2022.03.31) - Spring Java 프레임워크 보안 업데이트 권고(CVE-2022-22965, CVE-2022-22963)

https://www.boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=66592

[2] VMware (2022.03.31) – CVE-2022-22965: Spring Framework RCE via Data Binding on JDK 9+

https://tanzu.vmware.com/security/cve-2022-22965

[3] Spring (2022.03.31) – Spring Framework RCE, Early Announcement

https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement