描述

某些 URL 在使用前未被正确清理，允许攻击者获取文件系统中 Spring Web 应用程序进程可以访问的任何文件。

受影响的 Spring 产品和版本

• Spring Framework 3.0.4 到 3.2.11
• Spring Framework 4.0.0 到 4.0.7
• Spring Framework 4.1.0 到 4.1.1
• 其他不受支持的版本也可能受到影响

缓解措施

受影响版本的用户应应用以下缓解措施

• 3.2.x 的用户应升级到 3.2.12 或更高版本
• 4.0.x 的用户应升级到 4.0.8 或更高版本
• 4.1.x 的用户应升级到 4.1.2 或更高版本

鸣谢

此问题由 NTT DATA Corporation 的 Toshiaki Maki 发现并负责任地报告给了 Pivotal。

参考

• https://jira.spring.io/browse/SPR-12354
• https://github.com/spring-projects/spring-framework/commit/9beae9ae4226c45cd428035dae81214439324676
• https://github.com/spring-projects/spring-framework/commit/9cef8e3001ddd61c734281a7556efd84b6cc2755
• https://github.com/spring-projects/spring-framework/commit/3f68cd633f03370d33c2603a6496e81273782601

历史

2014 年 11 月 11 日：发布初始漏洞报告。