描述

Spring Web Services 2.4.3、3.0.4版本以及所有三个项目中较旧的、不受支持的版本，在从不受信任的来源接收XML数据时，容易受到XML外部实体注入（XXE）攻击。

受影响的Spring产品和版本

• Spring Web Services 2.4.3、3.0.4版本及更旧版本

缓解措施

受影响版本的使用者应采取以下缓解措施：

• 将spring-ws、spring-xml jar升级到2.4.4、3.0.6或更高版本。
• 出现此漏洞的Spring Web Services组件现在已根据参考速查表[1]的建议默认禁用这些功能，但如果可以启用该功能（因为从受信任的来源接收XML），则允许用户配置组件。

参考

• https://www.owasp.org/index.php/XML_External_Entity_(XXE)_Prevention_Cheat_Sheet

历史

2019-01-14：发布初始漏洞报告。