描述

当针对 OAuth 2 API 提供程序授权应用程序时，Spring Social 容易受到跨站点请求伪造 (CSRF) 攻击。 攻击涉及恶意用户使用 OAuth 2 API 提供程序的虚假帐户开始 OAuth 2 授权流程，但通过欺骗受害者在其浏览器中访问回调请求来完成该流程。 因此，攻击者可以通过虚假提供程序帐户访问易受攻击站点上的受害者帐户。

受影响的 Spring 产品和版本

• Spring Social Core 1.0.0 到 1.0.3
• Spring Social Core 1.1.0 到 1.1.2

缓解措施

受影响的 Spring Social 版本的用户应按如下方式升级

• 对于 Spring Social 1.0.x，升级到 1.1.3+
• 对于 Spring Social 1.1.x，升级到 1.1.3+

在上述版本中，Spring Social 需要回调请求中存在 `state` 参数。 如果未找到，则会抛出 IllegalStateException 异常，并且授权流程终止。

致谢

该问题最初由 Include Security 的 Kris Bosch 发现。 sourceclear 的 Paul Ambrosini (https://srcclr.com) 然后确定了根本原因、易受攻击的库和易受攻击的代码。

参考

• https://blog.srcclr.com/spring-social-core-vulnerability-disclosure/

历史

2015 年 11 月 12 日：发布初始漏洞报告。