描述

如果 Spring MVC 或 Spring WebFlux 应用程序依赖于数据绑定将 MultipartFile 或 javax.servlet.Part 设置为模型对象中的字段，则该应用程序容易受到 DoS 攻击。

受影响的 Spring 产品和版本

• Spring Framework
  • 5.3.0 到 5.3.19
  • 5.2.0 到 5.2.21
  • 较旧的，不受支持的版本也受到影响

缓解措施

受影响版本的用户应应用以下缓解措施：5.3.x 用户应升级到 5.3.20；5.2.x 用户应升级到 5.2.22。 无需其他步骤。 已修复此问题的版本包括

• Spring Framework
  • 5.3.20
  • 5.2.22

鸣谢

此漏洞由 Adobe Inc. 的 Rob Ryan 负责任地报告给 VMware。 Dbappsecurity 的 WeBin Lab 和 Arcesium 的 Vivek Sharm 也报告了相关的变体。

参考

• https://www.first.org/cvss/calculator/3.0#CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H

历史

• 2022-05-11：发布初始漏洞报告。