描述

提交到使用 Spring Data REST 支持的 HTTP 资源的服务器上的恶意 PATCH 请求可以利用精心构造的 JSON 数据来执行任意 Java 代码。

受影响的 Spring 产品和版本

• Spring Data REST 版本低于 2.6.9（Ingalls SR9）和 3.0.1（Kay SR1）
• Spring Boot（如果使用了 Spring Data REST 模块）版本低于 1.5.9 和 2.0 M6

缓解措施

受影响版本的使用者应该应用以下缓解措施

• 已修复此问题的版本包括：
  • Spring Data REST 2.6.9（Ingalls SR9，2017年10月27日）
  • Spring Data REST 3.0.1（Kay SR1，2017年10月27日）
  • Spring Boot 1.5.9（2017年10月28日）
  • Spring Boot 2.0 M6（2017年11月6日）

鸣谢

此漏洞由来自 Semmle 和 lgtm.com 的莫曼悦负责报告。

参考

• https://jira.spring.io/browse/DATAREST-1127
• https://jira.spring.io/browse/DATAREST-1152

历史

2017-09-21：发布初始漏洞报告

• 2018-03-06：更正受影响版本和已修复版本