描述

解析来自“If-Match”或“If-None-Match”请求头的 ETag 的应用程序容易受到拒绝服务攻击。

受影响的 Spring 产品和版本

Spring 框架

• 6.1.0 - 6.1.11
• 6.0.0 - 6.0.22
• 5.3.0 - 5.3.37
• 较旧的、不受支持的版本也受影响

缓解措施

受影响版本的使用者应升级到相应的已修复版本。

无需其他缓解步骤。

较旧的、不受支持版本的使用者可以对“If-Match”和“If-None-Match”标头实施大小限制，例如通过一个Filter。

致谢

此问题由尹锡灿负责报告。

历史记录

• 2024-08-14：发布初始漏洞报告。