描述

描述 在 Spring Cloud Function 框架中，4.1.x 版本（低于 4.1.2）和 4.0.x 版本（低于 4.0.8）的应用程序在尝试使用不存在的函数组合函数时容易受到拒绝服务攻击。

具体来说，一个应用程序……

描述

Spring Cloud Data Flow 是一个基于微服务的流式和批处理数据处理平台，可在 Cloud Foundry 和 Kubernetes 上运行。Skipper 服务器能够接收上传包请求。但是，由于上传路径的清理不当，导致……

描述

使用UriComponentsBuilder解析外部提供的 URL（例如，通过查询参数） *并且* 对解析的 URL 的主机执行验证检查的应用程序可能会受到开放重定向攻击或 SSRF 攻击的影响，如果 URL……

描述

Spring Authorization Server 1.0.0 - 1.0.5、1.1.0 - 1.1.5、1.2.0 - 1.2.2 版以及较旧的不受支持版本容易受到机密客户端的 PKCE 降级攻击。

具体来说，当**机密客户端**使用 PKCE 进行授权码……时，应用程序容易受到攻击。

描述

在 Spring Security 中，5.7.x 版本（低于 5.7.12）、5.8.x 版本（低于 5.8.11）、6.0.x 版本（低于 6.0.9）、6.1.x 版本（低于 6.1.8）、6.2.x 版本（低于 6.2.3）的应用程序在直接使用…时可能会容易受到访问控制破坏的影响。

描述

使用UriComponentsBuilder解析外部提供的 URL（例如，通过查询参数） *并且* 对解析的 URL 的主机执行验证检查的应用程序可能会受到开放重定向攻击或 SSRF 攻击的影响，如果 URL……

描述

使用UriComponentsBuilder解析外部提供的 URL（例如，通过查询参数） *并且* 对解析的 URL 的主机执行验证检查的应用程序可能会受到开放重定向攻击或 SSRF 攻击的影响，如果 URL……

描述

在 Spring Security 中，6.1.x 版本（低于 6.1.7）和 6.2.x 版本（低于 6.2.2）的应用程序在直接使用AuthenticationTrustResolver.isFullyAuthenticated(Authentication)方法时容易受到访问控制破坏的影响。

……

描述

在 Spring Cloud Contract 4.1.x 版本（低于 4.1.1）、4.0.x 版本（低于 4.0.5）和 3.1.x 版本（低于 3.1.10）中，测试执行容易受到本地信息泄露的影响，这是通过 `org.springframework.cloud:spring-cloud-contract-shade` 依赖项中的 `com.google.guava:guava` 依赖项创建具有不安全权限的临时目录造成的。

受影响的 Spring 产品和版本

• Spring Cloud Contract
  • 4.1.0
  • 4.0.0 至 4.0.5
  • 3.1.0 至 3.1.10

缓解措施

将 Spring Cloud Contract 升级到 3.1.10 或 4.0.5 或 4.1.1。

受影响版本的使用者应采取以下缓解措施。4.1.x 用户应升级到 4.1.1。4.0.x 用户应升级到 4.0.5。3.1.x 用户应升级到 3.1.10。无需其他步骤。已修复此问题的版本包括

• Spring Cloud Contract
  • 4.1.1
  • 4.0.5
  • 3.1.10

致谢

Oddball 的 Michael Kimball 发现了这个问题并负责任地进行了报告。

参考资料

• https://snyk.io/vuln/SNYK-JAVA-COMGOOGLEGUAVA-1015415
• https://www.cve.org/cverecord?id=CVE-2020-8908
……

描述

在 Spring Framework 6.0.15 和 6.1.2 版本中，用户可能提供特制的 HTTP 请求，这可能会导致拒绝服务 (DoS) 状态。

具体来说，当以下所有条件都为真时，应用程序容易受到攻击

• 应用程序使用 Spring MVC
• Spring Security 6.1.6+ 或 6.2.1+ 位于类路径中
……