描述

在 Spring Cloud Data Flow 中，2.6.x 版本（早于 2.6.5）、2.5.x 版本（早于 2.5.4）的应用程序在请求任务执行时容易受到 SQL 注入攻击。

受影响的 Spring 产品和版本

• Spring Cloud Data Flow
  • 2.6.x
  • 2.5.x

缓解措施

用户应升级到 2.5.4 及更高版本。已修复此问题的版本包括

• Spring Cloud Data Flow
  • 2.7.0
  • 2.6.5
  • …

描述

在使用 Spring Cloud Task 2.2.4.RELEASE 及以下版本的应用程序中，在 TaskExplorer 中执行某些查找查询时可能会容易受到 SQL 注入攻击。

受影响的 Spring 产品和版本

• Spring Cloud Task
  • 2.2.4 及以下版本

缓解措施

用户应升级到 2.2.5 及更高版本。已修复此问题的版本包括

• Spring Cloud Task
  • 2.3.0
  • …

描述

在 Spring Framework 5.2.0 - 5.2.8、5.1.0 - 5.1.17、5.0.0 - 5.0.18、4.3.0 - 4.3.28 和更旧的不受支持的版本中，根据使用的浏览器，通过使用…可能会绕过来自 CVE-2015-5211 的针对 RFD 攻击的保护。

描述

Spring Cloud Netflix 2.2.x 版本（早于 2.2.4）、2.1.x 版本（早于 2.1.6）以及更旧的不受支持的版本允许应用程序使用 Hystrix Dashboard 代理的 stream 端点向托管…服务器可访问的任何服务器发出请求。

描述

Spring Integration 框架提供 Kryo 编解码器实现作为 Java（反）序列化的替代方案。当 Kryo 配置为使用默认选项时，所有未注册的类都会按需解析。这会导致“反序列化工具…”

描述

当配置为启用默认类型时，Jackson 包含一个 反序列化漏洞，可能导致任意代码执行。Jackson 通过将已知的“反序列化工具”列入黑名单来修复此漏洞。

Spring Batch 将 Jackson 配置为启用 全局默认类型，这意味着通过之前的漏洞，如果以下所有条件都成立，则可以执行任意代码

• Spring Batch 的 Jackson 支持被用来序列化作业的 ExecutionContext。
• 恶意用户获得了对 JobRepository 使用的数据存储（存储要反序列化的数据的位置）的写访问权限。

为了防止此类攻击，Jackson 阻止了一组不受信任的工具类的反序列化。在启用默认类型时，Spring Batch 应积极主动地阻止未知的“反序列化工具”。

受影响的 Spring 产品和版本

• Spring Batch
  • 4.0.0 到 4.0.4
  • 4.1.0 到 4.1.4
  • 4.2.0 到 4.2.2

缓解措施

受影响版本的使用者应升级到 4.2.3 或更高版本。已修复此问题的版本包括

• Spring Batch
  • 4.2.3

致谢

此问题由 Srikanth…识别并负责任地报告。

描述

Spring Cloud Config 2.2.x 版本（早于 2.2.3）、2.1.x 版本（早于 2.1.9）以及更旧的不受支持的版本允许应用程序通过 spring-cloud-config-server 模块提供任意配置文件。恶意用户或攻击者…

描述

Spring Security 5.2.x 版本（早于 5.2.4）和 5.3.x 版本（早于 5.3.2）在 SAML 响应验证期间存在签名包装漏洞。当使用 spring-security-saml2-service-provider 组件时，恶意用户可以仔细地…

描述

Spring Security 5.3.x 版本（早于 5.3.2）、5.2.x 版本（早于 5.2.4）、5.1.x 版本（早于 5.1.10）、5.0.x 版本（早于 5.0.16）和 4.2.x 版本（早于 4.2.16）在可查询文本加密器的实现中使用固定为空的初始化向量以及 CBC 模式…

描述

Reactor Netty HttpServer 0.9.3 和 0.9.4 版本容易受到 URISyntaxException 的影响，该异常会导致连接过早关闭，而不是生成 400 响应。

受影响的 Spring 产品和版本

• Reactor Netty
  • 0.9.3
  • 0.9.4

缓解措施

受影响版本的使用者应升级到 0.9.5（reactor-bom Dysprosium SR-5）。无需执行其他步骤。

• Reactor Netty
  • 0.9.5

致谢

此问题是…