Spring Integration 4.3.23、5.1.12、5.2.8 & 5.3.2 可用;CVE-2020-5413
亲爱的 Spring 社区:
我谨代表团队和所有贡献者,非常高兴地宣布 Spring Integration 的一系列维护版本。这些版本主要包含错误修复和依赖升级。
CVE-2020-5413
Spring Integration 框架提供了 Kryo Codec 实现,作为 Java (反)序列化的替代方案。当 Kryo 使用默认选项配置时,所有未注册的类都会按需解析。当传入数据包含在反序列化过程中执行的恶意代码时,这会导致“反序列化小工具”漏洞。
为了防止此类攻击,Kryo 可以配置为要求一组受信任的类进行(反)序列化。Spring Integration 默认调用 kryo.setRegistrationRequired(true);(不信任任何人),并预先将开箱即用的 Message<?> 实现配置为受信任类。所有其他类型都必须使用注入到 PojoCodec 的任何可用 KryoRegistrar 策略来注册到 Kryo…