描述

在 Spring Framework 6.0.0 - 6.0.13 版本中，用户可能提供特制的 HTTP 请求，这可能会导致拒绝服务 (DoS) 情况。

具体来说，当满足以下所有条件时，应用程序易受攻击

• 应用程序使用 Spring MVC 或 Spring WebFlux
• io.micrometer:micrometer-core 位于类路径中
• 在应用程序中配置了 ObservationRegistry 以记录观察结果
……

描述

在 Reactor Netty HTTP Server 1.1.x（低于 1.1.13 版本）和 1.0.x（低于 1.0.39 版本）中，用户可能提供特制的 HTTP 请求，这可能会导致拒绝服务 (DoS) 情况。

具体来说，应用程序……

描述

在 Spring Boot 2.7.0 - 2.7.17、3.0.0-3.0.12 和 3.1.0-3.1.5 版本中，用户可能提供特制的 HTTP 请求，这可能会导致拒绝服务 (DoS) 情况。

具体来说，当满足以下所有条件时，应用程序易受攻击……

描述

在 Reactor Netty HTTP Server 1.1.x（低于 1.1.13 版本）和 1.0.x（低于 1.0.39 版本）中，恶意用户可以使用特制的 URL 发送请求，这可能导致目录遍历攻击。

具体来说，应用程序……

描述

在 2016 年，为可反序列化的类名添加了允许列表模式到 Spring AMQP，允许用户锁定来自不受信任来源的消息中的数据反序列化；但是默认情况下，如果没有提供允许列表，所有类……

描述

Spring for GraphQL 1.1.0 - 1.1.5 和 1.2.0 - 1.2.2 版本中的批量加载器函数可能会暴露给 GraphQL 上下文，其中包含来自不同会话的值，包括安全上下文值。如果应用程序在注册批量加载器时提供 `DataLoaderOptions` 实例，则该应用程序易受攻击……

描述

spring-security-config jar 内的 spring-security.xsd 文件是世界可写的，这意味着如果提取它，任何有权访问文件系统的人都可写入。

虽然没有已知的漏洞利用，但这是一个“CWE……的例子

描述

在 Spring for Apache Kafka 3.0.9 及更早版本以及 2.9.10 及更早版本中，存在可能的反序列化攻击媒介，但仅当应用了不寻常的配置时。攻击者必须在一个反序列化异常记录标头中构造一个恶意的序列化对象。

具体来说，当满足以下所有条件时，应用程序易受攻击

• 用户**没有**为记录的键和/或值配置 ErrorHandlingDeserializer
• 用户明确将容器属性 checkDeserExWhenKeyNull 和/或 checkDeserExWhenValueNull 容器属性设置为 true。
• 用户允许不受信任的来源发布到 Kafka 主题

默认情况下，这些属性为 false，容器仅在配置了 ErrorHandlingDeserializer 时才尝试反序列化标头。ErrorHandlingDeserializer 通过删除任何此类恶意标头来防止漏洞……

描述

在 Spring Security 配置中使用 `"**"` 作为 WebFlux 的模式会在 Spring Security 和 Spring WebFlux 之间的模式匹配中造成不匹配，并可能导致安全绕过。

受影响的 Spring 产品和版本

Spring Security

• 6.1.0 到 6.1.1
• 6.0.0 到 6.0.4
• 5.8.0 到 5.8.4
• 5.7.0 到 5.7.9
• 5.6.0 到 5.6.11
……

描述

除非另有说明，否则严重性为高危。

如果应用程序使用 `requestMatchers(String)` 或 `requestMatchers(HttpMethod, String)` 和多个 servlet（其中一个为……），则 Spring Security 5.8（低于 5.8.5 版本）、6.0（低于 6.0.5 版本）和 6.1（低于 6.1.2 版本）可能容易受到授权规则错误配置的影响。