描述

在受影响版本的Spring AMQP中，在将org.springframework.amqp.core.Message转换为字符串时，可能会不安全地反序列化。可以构造恶意有效负载来利用此漏洞并实现远程代码执行攻击。

受影响的Spring产品和版本

• 低于1.7.4、1.6.11和1.5.7版本的Spring AMQP

缓解措施

受影响版本的使用者应采取以下缓解措施：

• 已修复此问题的版本包括：
  • Spring AMQP：2.0.0、1.7.4、1.6.11、1.5.7

致谢

此漏洞由Semmle和lgtm.com的莫曼悦负责报告。

参考资料

• https://jira.spring.io/browse/AMQP-766
• https://docs.springframework.org.cn/spring-amqp/docs/1.6.11.RELEASE/reference/html/_reference.html#_message

历史记录

2017-09-19：发布初始漏洞报告