描述

Spring Authorization Server 1.0.0 - 1.0.5、1.1.0 - 1.1.5、1.2.0 - 1.2.2 版本以及不受支持的旧版本，容易受到针对 Confidential Client 的 PKCE 降级攻击。

具体来说，当 Confidential Client 在 Authorization Code 中使用 PKCE 时，应用程序就存在漏洞…

描述

Spring Security 5.7.x 低于 5.7.12 版本、5.8.x 低于 5.8.11 版本、6.0.x 低于 6.0.9 版本、6.1.x 低于 6.1.8 版本、6.2.x 低于 6.2.3 版本，当应用程序直接使用 … 时，可能存在访问控制中断的漏洞。

描述

使用 UriComponentsBuilder 解析外部提供的 URL（例如通过查询参数）并对解析后的 URL 的主机进行验证检查的应用程序，可能容易受到开放重定向 (open redirect) 攻击或 SSRF 攻击，如果 URL…

描述

使用 UriComponentsBuilder 解析外部提供的 URL（例如通过查询参数）并对解析后的 URL 的主机进行验证检查的应用程序，可能容易受到开放重定向 (open redirect) 攻击或 SSRF 攻击，如果 URL…

描述

Spring Security 6.1.x 低于 6.1.7 版本和 6.2.x 低于 6.2.2 版本，当应用程序直接使用 AuthenticationTrustResolver.isFullyAuthenticated(Authentication) 方法时，存在访问控制中断的漏洞。

…

描述

Spring Cloud Contract 4.1.x 低于 4.1.1 版本、4.0.x 低于 4.0.5 版本以及 3.1.x 低于 3.1.10 版本，通过 org.springframework.cloud:spring-cloud-contract-shade 依赖中的阴影 (shaded) 依赖 com.google.guava:guava，测试执行容易受到通过使用不安全权限创建的临时目录导致的本地信息泄露的影响。

受影响的 Spring 产品和版本

• Spring Cloud Contract
  • 4.1.0
  • 4.0.0 至 4.0.5
  • 3.1.0 至 3.1.10

缓解措施

将 Spring Cloud Contract 升级到 3.1.10 或 4.0.5 或 4.1.1 版本。

受影响版本的用户应采取以下缓解措施。4.1.x 用户应升级到 4.1.1 版本。 4.0.x 用户应升级到 4.0.5 版本。 3.1.x 用户应升级到 3.1.10 版本。 无需其他步骤。  已修复此问题的版本包括

• Spring Cloud Contract
  • 4.1.1
  • 4.0.5
  • 3.1.10

致谢

此问题由来自 Oddball 的 Michael Kimball 发现并负责任地报告。

参考资料

• https://snyk.io/vuln/SNYK-JAVA-COMGOOGLEGUAVA-1015415
• https://www.cve.org/cverecord?id=CVE-2020-8908
…

描述

在 Spring Framework 6.0.15 和 6.1.2 版本中，用户可以提供经过特殊构造的 HTTP 请求，从而可能导致拒绝服务 (DoS) 情况。

具体来说，当满足以下所有条件时，应用程序存在漏洞：

• 应用程序使用 Spring MVC
• Spring Security 6.1.6+ 或 6.2.1+ 在 classpath 中
…

描述

在 Reactor Netty HTTP Server 1.1.x 低于 1.1.13 版本和 1.0.x 低于 1.0.39 版本中，用户可以提供经过特殊构造的 HTTP 请求，从而可能导致拒绝服务 (DoS) 情况。

具体来说，一个应用程序…

描述

在 Spring Framework 6.0.0 - 6.0.13 版本中，用户可以提供经过特殊构造的 HTTP 请求，从而可能导致拒绝服务 (DoS) 情况。

具体来说，当满足以下所有条件时，应用程序存在漏洞：

• 应用程序使用 Spring MVC 或 Spring WebFlux
• io.micrometer:micrometer-core 在 classpath 中
• 在应用程序中配置了 ObservationRegistry 来记录 Observations
…

描述

在 Spring Boot 2.7.0 - 2.7.17、3.0.0-3.0.12 和 3.1.0-3.1.5 版本中，用户可以提供经过特殊构造的 HTTP 请求，从而可能导致拒绝服务 (DoS) 情况。

具体来说，当满足所有…条件时，应用程序存在漏洞