최근, 웹 애플리케이션 개발 프레임워크인 Spring에서 CVE-2022-22965 취약점이 발견됐다.
해당 취약점은 "Spring4Shell" 이라고 불리며 JDK 9 버전 이상에서 실행되는 Spring MVC 또는 Spring WebFlux 애플리케이션에서 데이터 바인딩을 통한 원격 코드 실행 취약점으로 밝혀졌다. 또한, 이 취약점의 영향을 받는 버전은 JDK 9 이상 버전을 사용하는 Spring Framework 5.3.0 ~ 5.3.17, 5.2.0 ~ 5.2.19 및 이전 버전이며 JDK 8 이하 버전을 사용하는 경우 영향을 받지 않는다고 알려졌다.
KISA는 해당 취약점이 해결된 Spring Framework 5.3.18 및 5.2.20 버전으로 업데이트 할 것을 권고했다.
출처
[1] KISA (2022.03.31) - Spring Java 프레임워크 보안 업데이트 권고(CVE-2022-22965, CVE-2022-22963)
https://www.boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=66592
[2] VMware (2022.03.31) – CVE-2022-22965: Spring Framework RCE via Data Binding on JDK 9+
https://tanzu.vmware.com/security/cve-2022-22965
[3] Spring (2022.03.31) – Spring Framework RCE, Early Announcement
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
'최신 보안 동향' 카테고리의 다른 글
| 다양한 악성코드 변종을 사용하는 러시아 해커 그룹 (0) | 2022.05.03 |
|---|---|
| AWS Lambda를 표적으로 하는 Denonia 악성코드 (0) | 2022.04.20 |
| WhatsApp의 음성 메시지 알림을 가장한 피싱 메일 (0) | 2022.04.20 |
| 해커 포럼에서 판매중인 BlackGuard 악성코드 (0) | 2022.04.20 |
| 인도 정부와 군대를 대상으로 하는 APT 캠페인 (0) | 2022.03.30 |