描述

Spring Cloud Config 2.2.x 版本低于 2.2.2，2.1.x 版本低于 2.1.7，以及较旧的不受支持的版本允许应用程序通过 spring-cloud-config-server 模块提供任意配置文件。恶意用户或攻击者可以使用特制 URL 发送请求，从而导致目录遍历攻击。

受影响的 Spring 产品和版本

• Spring Cloud Config
  • 2.2.0 到 2.2.1
  • 2.1.0 到 2.1.6

缓解措施

受影响版本的用户应应用以下缓解措施：2.2.x 用户应升级到 2.2.2，2.1.x 用户应升级到 2.1.7。较旧的版本应升级到受支持的分支。不需要其他缓解步骤。请注意，spring-cloud-config-server 应该只在需要它的内部网络上可用，并且应该使用 Spring Security 进行保护。这将漏洞暴露限制在具有内部网络访问权限和具有适当身份验证的用户。

• Spring Cloud Config
  • 2.2.2
  • 2.1.7

鸣谢

此问题由 Yiming Xiang（[email protected] 来自 NSFOCUS Security Team）发现并负责任地报告。

参考

• https://cloud.spring.io/spring-cloud-config/multi/multi__spring_cloud_config_server.html#_security

历史

• 2020-02-26：发布了最初的漏洞报告。