• 我的位置：
  • 首頁
  • -
  • 漏洞預(yù)警
  • -
  • 應(yīng)用
  • -
    • Spring Framework 身份認(rèn)證繞過漏洞CVE-2023-20860
    • CNNVD編號(hào)：未知
    • 危害等級(jí)： 高危 
    • CVE編號(hào)：未知
    • 漏洞類型： 遠(yuǎn)程代碼執(zhí)行
    • 威脅類型：未知
    • 廠       商：未知
    • 漏洞來源：深信服
    • 發(fā)布時(shí)間：2023-03-24
    • 更新時(shí)間：2023-03-24

    漏洞簡(jiǎn)介

    2023年3月22日，深信服安全團(tuán)隊(duì)監(jiān)測(cè)到一則Spring Framework組件存在身份認(rèn)證繞過漏洞的信息，漏洞編號(hào)：CVE-2023-20860，漏洞威脅等級(jí)：高危。

    該漏洞是由于Spring Security使用mvcRequestMatcher配置并將"**"作為匹配模式時(shí)，Spring Security 和 Spring MVC 對(duì)匹配模式的處理存在差異性，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)繞過身份認(rèn)證機(jī)制，最終登陸服務(wù)器后臺(tái)。

    漏洞公示

    暫無

    參考網(wǎng)站

    https://spring.io/security/cve-2023-20860

    受影響實(shí)體

    目前受影響的Spring Framework版本：

    Spring Framework 6.0.x ≤ 6.0.6

    Spring Framework 5.3.x ≤ 5.3.25

    補(bǔ)丁


    解決方案

    圖片

    如何檢測(cè)組件版本


    Windows 系統(tǒng)：

    全盤搜索 spring-core，如果存在 spring-core-{version}.jar，且version在漏洞影響版本內(nèi)，則可能受漏洞影響。


    Linux 系統(tǒng)：

    使用 find / -name ‘spring-core*’  命令搜索，且version在漏洞影響版本內(nèi)，則可能受漏洞影響。

    圖片

    官方修復(fù)建議


    當(dāng)前官方已發(fā)布最新版本，建議受影響的用戶及時(shí)更新升級(jí)到最新版本。鏈接如下：

    https://github.com/spring-projects/spring-framework/releases

    圖片

    深信服解決方案

    支持對(duì) Spring Framework的主動(dòng)檢測(cè)，可批量檢出業(yè)務(wù)場(chǎng)景中該事件的受影響資產(chǎn)情況，相關(guān)產(chǎn)品如下：

    【深信服主機(jī)安全檢測(cè)響應(yīng)平臺(tái)CWPP】已發(fā)布資產(chǎn)檢測(cè)方案。

    【深信服云鏡YJ】已發(fā)布資產(chǎn)檢測(cè)方案。