描述

在 Spring Session 3.0.0 版本中，会话 ID 可能会被记录到标准输出流。此漏洞将敏感信息暴露给能够访问应用程序日志的人员，并且可用于会话劫持。

具体来说，当以下条件成立时，应用程序存在漏洞

• 您正在使用 HeaderHttpSessionIdResolver

如果以下任何条件成立，则应用程序不存在漏洞

• 您没有使用 HeaderHttpSessionIdResolver

受影响的 Spring 产品和版本

Spring Session 3.0.0

缓解措施

受影响版本的使用者应升级到 Spring Session 3.0.1。已修复此问题的版本包括：

• Spring Session 3.0.1

致谢

此问题由 DATEV eG 的 Benedikt Halser 发现并负责任地报告。