Spring Security存在多个漏洞CVE-2022-31690,CVE-2022-31692

近日,我司监测到Spring发布安全公告,修复了2个存在于Spring Security中的安全漏洞。

Spring Security 是基于 Spring 的一个提供身份验证、授权和防止常见攻击的框架。

 

漏洞详情如下:

1.CVE-2022-31690 spring-security-oauth2-client 权限提升漏洞

风险等级:高危

漏洞类型:权限提升

漏洞简介:攻击者可以修改客户端通过浏览器向授权服务器发出的请求,如果授权服务器在后续使用包含空范围列表的‘OAuth2 Access Token Response’响应来获取访问token,攻击者可以获得权限提升,以特权身份执行恶意代码。

 

2.CVE-2022-31692 Spring Security 绕过授权漏洞

风险等级:高危

漏洞类型:访问控制绕过

漏洞简介:攻击者可以通过FORWARD或 INCLUDE调度绕过授权规则的影响。当满足以下所有条件时,应用程序会受到漏洞影响:

  • 应用程序期望 Spring Security 应用安全性来 forward 和 include 调度程序类型。
  • 应用程序手动或通过 authorizeHttpRequests 方法使用 AuthorizationFilter。
  • 应用程序配置 FilterChainProxy 以应用 forward 和/或 include 请求。
  • 应用程序将请求 forward / include 到更高权限的安全端点。
  • 应用程序通过 authorizeHttpRequests().shouldFilterAllDispatcherTypes(true) 配置 Spring Security 以应用于每个调度程序类型。

 

影响版本:

  • 5.6 <= Spring Security < 5.6.9
  • 5.7 <= Spring Security < 5.7.5

 

安全版本:

  • Spring Security >= 5.6.9
  • Spring Security >= 5.7.5

 

修复建议:

官方已经针对漏洞发布了版本更新,下载地址如下:

https://github.com/spring-projects/spring-security/releases

 

 

发表评论

评论已关闭。

相关文章