描述

具有基于WebSocket的STOMP端点的Spring应用程序容易受到经过身份验证的用户发起的拒绝服务攻击。

受影响的Spring产品和版本

• Spring Framework
  • 5.3.0 至 5.3.19
  • 5.2.0 至 5.2.21
  • 较旧的、不受支持的版本也受影响

缓解措施

受影响版本的使用者应应用以下缓解措施：5.3.x 用户应升级到 5.3.20；5.2.x 用户应升级到 5.2.22。无需其他步骤。已修复此问题的版本包括：

• Spring Framework
  • 5.3.20
  • 5.2.22

致谢

此漏洞由HMS Industrial Networks，Ewon业务部门，研发部-软件的David Delbecq和Rémy Vermeiren负责任地报告给VMware。

参考资料

• https://www.first.org/cvss/calculator/3.0#CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

历史记录

• 2022-05-11：发布初始漏洞报告。