内容简介：Spring是一个开放源代码的设计层面框架，它解决的是业务逻辑层和其他各层的松耦合问题，因此它将面向接口的编程思想贯穿整个系统应用。Spring是于2003 年兴起的一个轻量级的Java 开发框架，由Rod Johnson创建。简单来说，Spring是一个分层的JavaSE/EE full-stack(一站式) 轻量级开源框架。近日， Spring官方发布多个安全公告其中包括3个严重，2个高危漏洞，漏洞涉及Spring Messaging组件， Spring Security框架，Spring Data
Spring简介
Spring是一个开放源代码的设计层面框架，它解决的是业务逻辑层和其他各层的松耦合问题，因此它将面向接口的编程思想贯穿整个系统应用。Spring是于2003 年兴起的一个轻量级的 Java 开发框架，由Rod Johnson创建。简单来说，Spring是一个分层的JavaSE/EE full-stack(一站式) 轻量级开源框架。
近日， Spring官方发布多个安全公告其中包括3个严重，2个高危漏洞，漏洞涉及Spring Messaging组件， Spring Security框架，Spring Data 框架等多个模块，攻击者可通过这些漏洞实施远程代码执行攻击、拒绝服务攻击及获取敏感信息等。
一、Spring Messaging ReDoS
漏洞描述
| CVE编号 | CVE-2018-1257 |
| 漏洞类型 | 拒绝服务攻击 |
| 威胁等级 | 高 |
| 影响版本 |
Spring 5.0.x version < 5.0.6 Spring 4.3.x version < 4.3.17 以及不再受支持的版本中存在漏洞 |
| 漏洞危害 |
攻击者可利用此漏洞对系统进行远程代码执行的消息，导致在处理正则表达式时候出现拒绝服务。 |
| 漏洞依赖 |
|
修复方案
升级Spring框架到5.0.6/4.3.17。
二、Spring Security框架Method Security安全限制绕过漏洞
漏洞描述
| CVE编号 | CVE-2018-1258 |
| 漏洞类型 | 未授权访问 |
| 威胁等级 | 严重 |
| 影响版本 |
Spring Framework 5.0.5.RELEASE + 任意版本的Spring Security。 |
| 漏洞危害 | 未经授权的恶意用户可访问禁止方法的方法。 |
修复方案
升级Spring框架到5.0.6及以上。
升级Spring Boot到2.0.2及以上。
三、Spring Data 框架使用XMLBean产生XXE漏洞
漏洞描述
| CVE编号 | CVE-2018-1259 |
| 漏洞类型 | Xml外部实体注入漏洞 |
| 威胁等级 | 高 |
| 影响版本 |
Spring Data Commons Spring Data Commons 1.13.x version < 1.13.12 (Ingalls SR11) Spring Data REST 2.6.x version < 2.6.12 (Ingalls SR11) Spring Data Commons 2.0.x version < 2.0.7 (Kay SR6) Spring Data REST 3.0.x version < 3.0.7 (Kay SR6) |
| 漏洞危害 |
射的请求Payloaci绑定提交特制的请求参数访问系统上的任 意文件。 |
修复方案
1.13.x 升级到 1.13.12 (Ingalls SR12)
2.0.x 升级到 2.0.7 (Kay SR7)
或升级 XMLBeam 到 1.4.15
以下框架已经修复了该问题：
Spring Data REST 2.6.12 (Ingalls SR12)
Spring Data REST 3.0.7 (Kay SR7)。
四、Spring Security OAuth2 远程代码执行漏洞
漏洞描述
| CVE编号 | CVE-2018-1260 |
| 漏洞类型 | 远程代码执行 |
| 威胁等级 | 严重 |
| 影响版本 |
Spring Security OAuth 2.3 x version < 2.3.3 Spring Security OAuth 2.2 x version < 2.2.2 Spring Security OAuth 2.1 x version < 2.1.2 Spring Security OAuth 2.0 x version < 2.0.15 以及不再受支持的旧版本。 |
| 漏洞危害 | 恶意的用户可以通过特制授权请求在服务器上执行任意代 码。 |
| 漏洞依赖 |
1.扮演授权服务器的角色（例如 @Enab1eAuthorizationServer) 2.使用默认的Approval端点。 |
修复方案
2.3.x 的用户应该更新升级到2.3.3
2.2.x 的用户应该更新升级到2.2.2
2.1.x 的用户应该更新升级到2.1.2
2.0.x 的用户应该更新升级到2.0.15
不再受支持的版本应升级至各自对应的安全版本。
五、Spring Integration Zip不安全解压
漏洞描述
| CVE编号 | CVE-2018-1261 |
| 漏洞类型 | 任意 文件写入漏洞 |
| 威胁等级 | 严重 |
| 影响版本 |
Spring Integration Zip Community Extension Project 版本 1.0.0 |
| 漏洞危害 | 恶意构造的压缩文档解压时会覆盖外部文件。 |
修复方案
升级至以下安全版本：1.0.1.RELEASE同时，应避免解压来历不明的zip文件。
相关链接
{0}https://pivotal.io/security/cve-2018-1257
{1} https://pivotal.io/security/cve-2018- 1258
{2} https://pivotal.io/security/cve-2018- 1259
{3} https://pivotal.io/security/cve-2018- 1260
{4} https://pivotal.io/security/cve-2018- 1261
以上就是本文的全部内容，希望本文的内容对大家的学习或者工作能带来一定的帮助，也希望大家多多支持 码农网
猜你喜欢:
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
Web Caching
Duane Wessels / O'Reilly Media, Inc. / 2001-6 / 39.95美元
On the World Wide Web, speed and efficiency are vital. Users have little patience for slow web pages, while network administrators want to make the most of their available bandwidth. A properly design......一起来看看 《Web Caching》 这本书的介绍吧!
