4月5日,Pivotal 发布了 Spring Framework 存在多个安全漏洞的公告:
对应CVE编号:CVE-2018-1270
漏洞公告链接:https://pivotal.io/security/cve-2018-1270
对应CVE编号:CVE-2018-1271
漏洞公告链接:https://pivotal.io/security/cve-2018-1271
对应CVE编号:CVE-2018-1272
漏洞公告链接:https://pivotal.io/security/cve-2018-1272
CVE-2018-1270漏洞:Spring Framework的5.*版本、4.3.*版本以及不再支持的旧版本,通过spring-messaging和spring-websocket模块提供的基于WebSocket的STOMP,存在被攻击者建立WebSocket连接并发送恶意攻击代码的可能,从而实现远程代码执行攻击,建议尽快更新到新的版本。
CVE-2018-1271漏洞:Spring Framework的5.*版本、4.3.*版本以及不再支持的旧版本,Spring MVC允许应用程序对其配置提供静态资源,在Windows系统上实现该功能时,攻击者通过请求构造的特定资源URL,可能导致目录遍历的效果产生,建议尽快更新到新的版本。
CVE-2018-1272漏洞:Spring Framework的5.*版本、4.3.*版本以及不再支持的旧版本,当Spring MVC或Spring WebFlux服务器接受把客户端请求再转向另一台服务器的场景下,攻击者通过构造和污染Multipart类型请求,可能对另一台服务器实现权限提升攻击,建议尽快更新到新的版本。
Spring spring-messaging远程代码执行漏洞(CVE-2018-1270)、(CVE-2018-1271)、(CVE-2018-1272)等影响版本如下:
官方历史安全公告列表,请参考:
https://pivotal.io/security/
https://spring.io/blog/2018/04/05/multiple-cve-reports-published-for-the-spring-framework
来自 安恒信息