Spring Vulnerability CVE-2018-{1257-1261}

栏目: 后端 · 发布时间: 6年前

内容简介:Spring是一个开放源代码的设计层面框架,它解决的是业务逻辑层和其他各层的松耦合问题,因此它将面向接口的编程思想贯穿整个系统应用。Spring是于2003 年兴起的一个轻量级的Java 开发框架,由Rod Johnson创建。简单来说,Spring是一个分层的JavaSE/EE full-stack(一站式) 轻量级开源框架。近日, Spring官方发布多个安全公告其中包括3个严重,2个高危漏洞,漏洞涉及Spring Messaging组件, Spring Security框架,Spring Data

Spring Vulnerability CVE-2018-{1257-1261}

Spring简介

Spring是一个开放源代码的设计层面框架,它解决的是业务逻辑层和其他各层的松耦合问题,因此它将面向接口的编程思想贯穿整个系统应用。Spring是于2003 年兴起的一个轻量级的 Java 开发框架,由Rod Johnson创建。简单来说,Spring是一个分层的JavaSE/EE full-stack(一站式) 轻量级开源框架。

近日, Spring官方发布多个安全公告其中包括3个严重,2个高危漏洞,漏洞涉及Spring Messaging组件, Spring Security框架,Spring Data 框架等多个模块,攻击者可通过这些漏洞实施远程代码执行攻击、拒绝服务攻击及获取敏感信息等。

一、Spring Messaging ReDoS

漏洞描述

CVE编号 CVE-2018-1257
漏洞类型 拒绝服务攻击
威胁等级

影响版本

Spring 5.0.x version < 5.0.6

Spring 4.3.x version < 4.3.17

以及不再受支持的版本中存在漏洞

漏洞危害

攻击者可利用此漏洞对系统进行远程代码执行的消息,导致在处理正则表达式时候出现拒绝服务。

漏洞依赖

  1. 依赖于Spring-messaging和Spring-webSocket模块。

  2. 通过WebSocket端点注册STOMP

  3. 启用简单的STOMP代理。

修复方案

升级Spring框架到5.0.6/4.3.17。

二、Spring Security框架Method Security安全限制绕过漏洞

漏洞描述

CVE编号 CVE-2018-1258
漏洞类型 未授权访问
威胁等级 严重

影响版本

Spring Framework 5.0.5.RELEASE + 任意版本的Spring Security。
漏洞危害 未经授权的恶意用户可访问禁止方法的方法。

修复方案

升级Spring框架到5.0.6及以上。

升级Spring Boot到2.0.2及以上。

三、Spring Data 框架使用XMLBean产生XXE漏洞

漏洞描述

CVE编号 CVE-2018-1259
漏洞类型 Xml外部实体注入漏洞
威胁等级

影响版本

Spring Data Commons

Spring Data Commons 1.13.x version < 1.13.12 (Ingalls

SR11)

Spring Data REST 2.6.x version < 2.6.12 (Ingalls SR11)

Spring Data Commons 2.0.x version < 2.0.7 (Kay SR6)

Spring Data REST 3.0.x version < 3.0.7 (Kay SR6)

漏洞危害

射的请求Payloaci绑定提交特制的请求参数访问系统上的任

意文件。

Spring Vulnerability CVE-2018-{1257-1261}

修复方案

1.13.x 升级到 1.13.12 (Ingalls SR12)

2.0.x 升级到 2.0.7 (Kay SR7)

或升级 XMLBeam 到 1.4.15

以下框架已经修复了该问题:

Spring Data REST 2.6.12 (Ingalls SR12)

Spring Data REST 3.0.7 (Kay SR7)。

四、Spring Security OAuth2 远程代码执行漏洞

漏洞描述

CVE编号 CVE-2018-1260
漏洞类型 远程代码执行
威胁等级 严重

影响版本

Spring Security OAuth 2.3 x version < 2.3.3

Spring Security OAuth 2.2 x version < 2.2.2

Spring Security OAuth 2.1 x version < 2.1.2

Spring Security OAuth 2.0 x version < 2.0.15

以及不再受支持的旧版本。

漏洞危害

恶意的用户可以通过特制授权请求在服务器上执行任意代

码。

漏洞依赖

1.扮演授权服务器的角色(例如

@Enab1eAuthorizationServer)

2.使用默认的Approval端点。

Spring Vulnerability CVE-2018-{1257-1261}

修复方案

2.3.x 的用户应该更新升级到2.3.3

2.2.x 的用户应该更新升级到2.2.2

2.1.x 的用户应该更新升级到2.1.2

2.0.x 的用户应该更新升级到2.0.15

不再受支持的版本应升级至各自对应的安全版本。

五、Spring Integration Zip不安全解压

漏洞描述

CVE编号 CVE-2018-1261
漏洞类型 任意 文件写入漏洞
威胁等级 严重

影响版本

Spring Integration Zip Community Extension Project 版本

1.0.0

漏洞危害 恶意构造的压缩文档解压时会覆盖外部文件。

修复方案

升级至以下安全版本:1.0.1.RELEASE同时,应避免解压来历不明的zip文件。

相关链接

{0}https://pivotal.io/security/cve-2018-1257

{1} https://pivotal.io/security/cve-2018- 1258

{2} https://pivotal.io/security/cve-2018- 1259

{3} https://pivotal.io/security/cve-2018- 1260

{4} https://pivotal.io/security/cve-2018- 1261


以上就是本文的全部内容,希望本文的内容对大家的学习或者工作能带来一定的帮助,也希望大家多多支持 码农网

查看所有标签

猜你喜欢:

本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们

微信力量

微信力量

谢晓萍等著 / 机械工业出版社华章公司 / 2015-10-28 / 59.00

微信俨然已进化为一种万能的连接器,拥有连接一切的能力,彰显出强大的连接力,无处不在,无所不能。本书将为你讲述连接为何能产生如此巨大的力量,这股力量正在商业和民生领域产生的变化,将为你展现微信生态进化的全景世界。 连接即入口,微信上的每一次有效的连接都会形成有效的入口。本书详细讲解了如何通过微信帮助餐饮、酒店、医院、零售、商场、电气、母婴、航空、客运、停车场、商圈、城市服务等数十个传统行业与它......一起来看看 《微信力量》 这本书的介绍吧!

JSON 在线解析
JSON 在线解析

在线 JSON 格式化工具

MD5 加密
MD5 加密

MD5 加密工具

UNIX 时间戳转换
UNIX 时间戳转换

UNIX 时间戳转换