【漏洞通告】Spring Framework 身份认证绕过漏洞

0x01 漏洞信息

漏洞名称：Spring Framework 身份认证绕过漏洞

漏洞编号：CVE-2023-20860

漏洞等级：高

披漏时间：2023年3月22日

0x02 漏洞描述

Spring Framework存在身份认证绕过漏洞，当Spring Security使用mvcRequestMatcher配置并将"**"作为匹配模式时，Spring Security 和 Spring MVC 对匹配模式的处理存在差异性，可能导致身份认证绕过。

0x03 漏洞状态

脆弱组件覆盖面	利用门槛	POC工具	EXP工具
广	低	未公开	未公开

0x04 影响版本

Spring Framework 5.3.x ≤5.3.25、Spring Framework 6.0.x ≤ 6.0.6

0x05 漏洞排查

用户尽快排查所有应用系统Spring Framework应用版本是否在Spring Framework 5.3.x ≤5.3.25、Spring Framework 6.0.x ≤ 6.0.6之间。若存在应用使用，极大可能会受到影响。

0x06 漏洞加固

目前官方已有可更新版本，建议用户升级至: Spring Framework 6.0.x >= 6.0.7Spring Framework 5.3.x >= 5.3.26下载链接: https://github.com/spring-projects/spring-framework/releases

原文始发于微信公众号（安迈信科应急响应中心）：【漏洞通告】Spring Framework 身份认证绕过漏洞