抢先一步
VMware 提供培训和认证，以加速您的进步。
了解更多WebFlux应用程序中静态资源的授权绕过
描述
在某些情况下，在静态资源上具有 Spring Security 授权规则的 Spring WebFlux 应用程序可能会被绕过。
要使此问题影响应用程序，必须满足以下所有条件
- 它必须是一个 WebFlux 应用程序
- 它必须使用 Spring 的静态资源支持
- 它必须对静态资源支持应用非 permitAll 授权规则
受影响的 Spring 产品和版本
这会影响以下 Spring Security 版本
- 5.7.0 - 5.7.12
- 5.8.0 - 5.8.14
- 6.0.0 - 6.0.12
- 6.1.0 - 6.1.10
- 6.2.0 - 6.2.6
- 6.3.0 - 6.3.3
- 旧的、不受支持的版本也受到影响
缓解措施
受影响版本的用户应升级到相应的修复版本。
| 受影响的版本 | 修复版本 | 可用性 |
|---|---|---|
| 5.7.x | 5.7.13 | 仅限企业支持 |
| 5.8.x | 5.8.15 | 仅限企业支持 |
| 6.0.x | 6.0.13 | 仅限企业支持 |
| 6.1.x | 6.1.11 | 仅限企业支持 |
| 6.2.x | 6.2.7 | OSS |
| 6.3.x | 6.3.4 | OSS |
致谢
该漏洞由 tkswifty 和 [email protected] 负责任地报告。
参考资料
报告漏洞
要报告 Spring 产品组合中某个项目的安全漏洞，请参阅安全策略