sprig-mvc-demo-patch

이 데모 애플리케이션은 CVE-2024-38828 취약점을 부분적으로 다룹니다.

Spring Framework의 CVE-2024-38828 취약점은 byte[] 유형의 매개변수를 허용하는 Spring MVC 컨트롤러에 크거나 특수하게 조작된 요청을 전송하여 "서비스 거부"(DoS) 공격을 수행할 수 있게 합니다. 이로 인해 메모리와 CPU에 과부하가 발생하고 리소스 부족으로 애플리케이션이 중단될 수 있습니다. 이 데모 애플리케이션에서는 대용량 파일 업로드와 관련된 취약점을 해결하기 위해 사용자 정의 변환기를 사용합니다. 취약점을 완전히 해결하려면 서블릿에 타임아웃을 설정하여 느린 공격으로부터 보호하고, multipart/form-data 및 raw body 요청 처리를 최적화하여 과도한 메모리 할당이 발생하지 않도록 해야 합니다.

CVE-2024-38828 취약점은 Spring 5.3.33 이상 버전에서 해결되었습니다.