描述

Spring Web Services 2.4.3、3.0.4 以及所有三个项目的较旧的不受支持的版本，在接收来自不受信任来源的 XML 数据时容易受到 XML 外部实体注入 (XXE) 的攻击。

受影响的 Spring 产品和版本

• Spring Web Services 版本 2.4.3、3.0.4 及更早版本

缓解措施

受影响版本的用户应采取以下缓解措施

• 将 spring-ws、spring-xml jar 升级到 2.4.4、3.0.6 或更高版本
• Spring Web Services 组件现在默认禁用参考备忘单 [1] 中建议的功能，但如果可以启用该功能，因为 XML 是从受信任的来源接收的，则允许用户配置组件。

参考

• https://www.owasp.org/index.php/XML_External_Entity_(XXE)_Prevention_Cheat_Sheet

历史记录

2019-01-14：发布初始漏洞报告。