CVE-2026-59296 in Spring Micrometer
요약
\~에 의해 VulDB • 2026. 08. 21.
신뢰할 수 없고 정규화되지 않은 입력을 그대로 메트릭 데이터(예: 메트릭 이름, 태그 키 또는 태그 값)에 사용하는 것은 위험한 안티패턴이며 범용 계측 라이브러리는 이러한 작업을 수행해서는 안 됩니다. 이러한 안전하지 않은 계측이 사용될 경우, micrometer-registry-statsd 및 micrometer-core는 이 수정 이전에는 기본적으로 새줄 문자(\n, \r)를 제거(sanitize)하지 않으므로 애플리케이션은 삽입(injection) 및 스푸핑(spoofing) 공격에 취약해집니다.
* micrometer-registry-statsd의 StatsD 레지스트리(Datadog 또는 Etsy 플레이버 사용 시)의 경우, StatsD 프로토콜이 새줄로 구분되므로 라인 프로토콜 삽입(크로스 메트릭 스푸핑)이 가능합니다. * micrometer-core의 LoggingMeterRegistry의 경우, 메트릭 출력이 로그 파일에 줄 단위로 인쇄되므로 메트릭 스푸핑(하류 log-metric 스캐퍼 또는 파서가 로그 라인을 별도의 메트릭으로 처리하는 경우)과 일반적인 로그 스푸핑이 모두 가능합니다.
구체적으로 애플리케이션은 다음 모든 조건이 충족될 때 취약합니다:
* 애플리케이션이 취약한 버전의 io.micrometer:micrometer-registry-statsd 또는 io.micrometer:micrometer-core를 사용합니다. * 애플리케이션이 StatsD 레지스트리의 Datadog 또는 Etsy 플레이버를 사용하거나, LoggingMeterRegistry를 사용합니다. * 애플리케이션은 메트릭 이름, 태그 키 또는 태그 값에 대해 사용자 제어 및 검증되지 않은 입력을 사용하여 미터(meters)를 계측합니다.
취약점이 존재할 경우 공격자는 새줄 종결자를 삽입하여 현재 메트릭이나 로그 라인에서 탈출할 수 있습니다. 이를 통해 공격자는 StatsD 프로토콜 직접 사용 또는 하류 log-metric 스캐퍼/파서를 경유하여, 메트릭 레지스트리 네임스페이스 전반에 걸쳐 임의의 메트릭(예: 시스템 부하, 표준 JVM 메트릭 또는 기타 비즈니스 메트릭)을 스푸핑할 수 있으며, 일반적인 로그 기록을 스푸핑하기 위해 임의의 로그 항목도 삽입할 수 있습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.