抢先一步
VMware 提供培训和认证，以加速您的进步。
了解更多CVE-2024-22262：Spring Framework URL 解析与主机验证（第三份报告）
描述
使用 UriComponentsBuilder 解析外部提供的 URL（例如通过查询参数）并且对解析的 URL 的主机执行验证检查的应用程序可能容易受到开放重定向攻击或 SSRF 攻击，如果 URL 在通过验证检查后被使用。
这与 CVE-2024-22259 和 CVE-2024-22243 相同，但输入不同。
受影响的 Spring 产品和版本
Spring Framework
- 6.1.0 - 6.1.5
- 6.0.0 - 6.0.18
- 5.3.0 - 5.3.33
- 较旧的不受支持的版本也受到影响
缓解措施
受影响版本的用户应升级到相应的修复版本。
| 受影响的版本 | 修复版本 | 可用性 |
|---|---|---|
| 6.1.x | 6.1.6 | OSS |
| 6.0.x | 6.0.19 | OSS |
| 5.3.x | 5.3.34 | OSS |
鸣谢
此问题由 L0ne1y 发现并负责任地报告。
参考
报告漏洞
要报告 Spring 产品组合中某个项目的安全漏洞，请参阅安全策略