内容简介:4月5日,Pivotal 发布了 Spring Framework 存在多个安全漏洞的公告: (1)spring-messaging 模块远程代码执行漏洞 对应CVE编号:CVE-2018-1270 漏洞公告链接:https://pivotal.io/security/cve-2018-1270 (2)运...
4月5日,Pivotal 发布了 Spring Framework 存在多个安全漏洞的公告:
(1)spring-messaging 模块远程代码执行漏洞
对应CVE编号:CVE-2018-1270
漏洞公告链接:https://pivotal.io/security/cve-2018-1270
(2)运行于 Windows 系统的 Spring MVC 存在目录遍历漏洞
对应CVE编号:CVE-2018-1271
漏洞公告链接:https://pivotal.io/security/cve-2018-1271
(3)Spring MVC 或 Spring WebFlux 服务器存在 Multipart 类型污染漏洞
对应CVE编号:CVE-2018-1272
漏洞公告链接:https://pivotal.io/security/cve-2018-1272
漏洞描述
CVE-2018-1270漏洞:Spring Framework的5.*版本、4.3.*版本以及不再支持的旧版本,通过spring-messaging和spring-websocket模块提供的基于WebSocket的STOMP,存在被攻击者建立WebSocket连接并发送恶意攻击代码的可能,从而实现远程代码执行攻击,建议尽快更新到新的版本。
CVE-2018-1271漏洞:Spring Framework的5.*版本、4.3.*版本以及不再支持的旧版本,Spring MVC允许应用程序对其配置提供静态资源,在Windows系统上实现该功能时,攻击者通过请求构造的特定资源URL,可能导致目录遍历的效果产生,建议尽快更新到新的版本。
CVE-2018-1272漏洞:Spring Framework的5.*版本、4.3.*版本以及不再支持的旧版本,当Spring MVC或Spring WebFlux服务器接受把客户端请求再转向另一台服务器的场景下,攻击者通过构造和污染Multipart类型请求,可能对另一台服务器实现权限提升攻击,建议尽快更新到新的版本。
漏洞影响范围
Spring spring-messaging远程代码执行漏洞(CVE-2018-1270)、(CVE-2018-1271)、(CVE-2018-1272)等影响版本如下:
(1)Spring Framework 5.*(5.0到5.0.4)版本,建议更新到5.0.5版本
(2)Spring Framework 4.3.*(4.3到4.3.14)版本,建议更新到4.3.15版本
(3)以及不再受支持的旧版本,建议更新到4.3.15版本或5.0.5版本
官方历史安全公告列表,请参考:
https://pivotal.io/security/
https://spring.io/blog/2018/04/05/multiple-cve-reports-published-for-the-spring-framework
来自安恒信息
【声明】文章转载自:开源中国社区 [http://www.oschina.net]
以上就是本文的全部内容,希望对大家的学习有所帮助,也希望大家多多支持 码农网
猜你喜欢:- 安全预警 ——Firefox远程代码执行漏洞
- 注意!Exchange SSRF 漏洞安全预警通告
- 安全预警 ——WebSphere存在远程代码执行漏洞
- 预警即预防:6大常见数据库安全漏洞
- 博通Wi-Fi驱动多个安全漏洞预警
- 安全预警 ——关于Apache Axis远程命令执行漏洞
本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们。
程序员修炼之道(影印版)
Andrew Hunt、David Thomas / 中国电力出版社 / 2003-8-1 / 39.00
本书直击编程陈地,穿过了软件开发中日益增长的规范和技术藩篱,对核心过程进行了审视——即根据需求,创建用户乐于接受的、可工作和易维护的代码。本书包含的内容从个人责任到职业发展,直至保持代码灵活和易于改编重用的架构技术。从本书中将学到防止软件变质、消除复制知识的陷阱、编写灵活、动态和易适应的代码、避免出现相同的设计、用契约、断言和异常对代码进行防护等内容。一起来看看 《程序员修炼之道(影印版)》 这本书的介绍吧!