股票代碼：688225
打開(kāi)微信“掃一掃”，開(kāi)啟安全數(shù)字世界之旅
截圖或長(zhǎng)按保存至相冊(cè)，使用微信掃一掃
警惕！攻擊者可繞過(guò)驗(yàn)證，Spring Framework漏洞風(fēng)險(xiǎn)通告
發(fā)布時(shí)間 ：2023年03月24日
類型 ：勒索軟件
分享：
近日，亞信安全CERT監(jiān)測(cè)到Spring官方發(fā)布安全通告，修復(fù)了Spring Framework中的一個(gè)身份驗(yàn)證繞過(guò)漏洞（CVE-2023-20860）。當(dāng)Spring Security配置中用作"**"模式時(shí)，會(huì)導(dǎo)致Spring Security和Spring MVC之間的mvcRequestMatcher模式不匹配。該漏洞允許未經(jīng)身份驗(yàn)證的攻擊者可向目標(biāo)發(fā)送構(gòu)造的特殊請(qǐng)求，從而實(shí)現(xiàn)身份驗(yàn)證繞過(guò)。目前廠商已發(fā)布安全版本，建議受影響用戶盡快下載安裝以減少漏洞所帶來(lái)的風(fēng)險(xiǎn)。
Spring Framework是一款基于Java的開(kāi)源框架，它提供了一組用于開(kāi)發(fā)企業(yè)級(jí)應(yīng)用程序的工具和技術(shù)。Spring Framework的主要目標(biāo)是提高Java開(kāi)發(fā)的生產(chǎn)力和簡(jiǎn)化Java應(yīng)用程序的開(kāi)發(fā)。Spring Security是Spring Framework的一個(gè)模塊，它提供了一系列的安全性服務(wù)和功能，用于保護(hù)Java應(yīng)用程序的安全性。
漏洞編號(hào)和評(píng)分
CVE-2023-20860
高危
漏洞狀態(tài)
漏洞細(xì)節(jié) | PoC | EXP | 在野利用 |
未公開(kāi) | 未公開(kāi) | 未公開(kāi) | 未知 |
受影響版本
Spring Framework 6.0.x <= 6.0.6
Spring Framework 5.3.x <= 5.3.25
注：Spring Framework5.3之前的版本不受影響
修復(fù)建議
目前該漏洞已經(jīng)修復(fù)，建議受影響用戶盡快升級(jí)至安全版本6.0.7或5.3.26或更高版本：
https://spring.io/projects/spring-framework
參考鏈接
https://spring.io/security/cve-2023-20860
分享到微信
X