描述

Spring Batch 3.0.9、4.0.1、4.1.0版以及更旧的无支持版本在从不受信任的来源接收XML数据时，容易受到XML外部实体注入 (XXE) 的攻击。

受影响的Spring产品和版本

• Spring Batch 3.0.9、4.0.1、4.1.0版以及更旧版本

缓解措施

受影响版本的使用者应采取以下缓解措施：

• 将spring-batch jar升级到3.0.10、4.0.2、4.1.1或更高版本。
• 表现出此漏洞的Spring Batch组件现在已根据参考速查表[1]中的建议默认禁用这些功能，但如果由于从受信任的来源接收XML而可以启用该功能，则允许用户配置这些组件。

参考资料

• https://www.owasp.org/index.php/XML_External_Entity_(XXE)_Prevention_Cheat_Sheet

历史记录

2019-01-14：发布初始漏洞报告。