【漏洞通告】Spring Security RegexRequestMatcher 认证绕过漏洞安全风险通告

2022年5月23日，嘉诚安全监测到Spring官方发布了Spring Security RegexRequestMatcher 认证绕过漏洞的安全风险通告，漏洞编号为：CNNVD-202205-3584（CVE-2022-22978）。

VMware Spring Security是美国威睿（VMware）公司的一套为基于Spring的应用程序提供说明性安全保护的安全框架。

鉴于漏洞危害较大，嘉诚安全提醒相关用户尽快更新至安全版本，避免引发漏洞相关的网络安全事件。

该漏洞是由于RegexRequestMatcher过滤不严格，攻击者可利用该漏洞在未授权的情况下，构造恶意数据执行认证绕过攻击，最终造成配置的权限验证失效。

通用修复建议：

根据影响版本中的信息，建议相关用户尽快更新至安全版本，下载链接请参考：

https://spring.io/blog/2022/05/15/spring-security-5-7-0-5-6-4-5-5-7-released-fixes-cve-2022-22978-cve-2022-22976