描述

在 Spring Boot 版本 2.7.0 - 2.7.17、3.0.0-3.0.12 和 3.1.0-3.1.5 中，用户可以提供特制的 HTTP 请求，这可能会导致拒绝服务 (DoS) 情况。

具体来说，当所有以下条件都为真时，应用程序容易受到攻击

• 应用程序使用 Spring MVC 或 Spring WebFlux
• org.springframework.boot:spring-boot-actuator 在类路径上

受影响的 Spring 产品和版本

Spring Boot

• 2.7.0 到 2.7.17
• 3.0.0 到 3.0.12
• 3.1.0 到 3.1.5

以及较旧的不受支持的版本。

Spring Boot 3.x 版本也受到 CVE-2023-34053 的影响，这是 Spring Framework 中的类似问题。 Spring Boot 3.0.13 和 3.1.6 版本将 Spring Framework 升级到相关版本。

缓解措施

受影响版本的用户应采取以下缓解措施。

• 2.7.x 之前的用户应升级到 2.7.18。
• Spring Boot 2.7.x 用户应升级到 2.7.18。
• Spring Boot 3.0.x 用户应升级到 3.0.13。
• Spring Boot 3.1.x 用户应升级到 3.1.6。

不需要其他步骤。

作为临时解决方法，Spring Boot 用户可以选择使用以下属性禁用 Web 指标：management.metrics.enable.http.server.requests=false

鸣谢

该问题由 James Yuzawa 发现并负责任地报告。

参考

• https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L&version=3.1