본문 바로가기
Q&A2022년 3월 13일1분 읽기

Spring4Shell 취약점은 Log4Shell만큼 심각한가요?

양
양수진
조회 705댓글 1

Spring Framework에서 Spring4Shell(CVE-2022-22965)이 나왔다고 하는데, 얼마나 심각한 건가요?

이전 글
Docker Compose로 개발환경 구축하기
다음 글
TypeScript를 왜 써야 하나요? JavaScript로도 되는데

댓글 1

김김영삼4년 전

Spring4Shell은 Log4Shell만큼 심각하지는 않지만 주의가 필요합니다.

조건:

  • Spring Framework 5.3.0~5.3.17 / 5.2.0~5.2.19
  • JDK 9 이상
  • Apache Tomcat에 WAR 배포
  • POJO에 클래스 로더 접근 가능

조건이 많아서 Log4Shell처럼 광범위하지는 않습니다. 하지만 해당되는 환경이면 RCE가 가능합니다.

패치:

  • Spring Framework 5.3.18+ / 5.2.20+ 업그레이드
  • Spring Boot 2.6.6+ / 2.5.12+ 업그레이드
  • Tomcat 10.0.20+, 9.0.62+, 8.5.78+
Ctrl+Enter로 등록