【漏洞通告】Spring Security 访问控制错误漏洞

01 漏洞概况

Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架。

Spring Security版本 6.1.x - 6.1.7之前、6.2.x - 6.2.2 之前，当应用程序直接使用AuthenticationTrustResolver.isFullyAuthenticated（Authentication）方法时，可向其传递一个null身份验证参数，导致错误的true返回值，可利用该漏洞破坏访问控制，可能导致身份验证和授权绕过、未授权访问、信息泄露等。

02 漏洞处置

综合处置优先级：高

漏洞信息	漏洞名称	Spring Security访问控制错误漏洞
漏洞编号	CVE编号	CVE-2024-22234
漏洞评估	披露时间	2024-02-18
	漏洞类型	访问控制破损
	危害评级	高危
	公开程度	PoC未公开
	威胁类型	远程
利用情报	在野利用	未发现
影响产品	产品名称	Spring Security
	受影响版本	Spring Security 6.1.x - 6.1.7之前、6.2.x - 6.2.2 之前
	影响范围	广
	有无修复补丁	有

03 漏洞排查

用户尽快排查应用Spring Security版本是否受该漏洞影响。

04 修复方案

当前官方已发布最新版本，建议受影响的用户及时更新升级到以下版本。下载链接：https://spring.io/projects/spring-security

Spring Security 6.1.x：升级到6.1.7

Spring Security 6.2.x：升级到6.2.2

注意，满足以下任一条件的应用程序不易受到攻击：

l 应用程序不直接使用 AuthenticationTrustResolver.isFullyAuthenticated(Authentication)。

l 应用程序未将null传递给AuthenticationTrustResolver.isFullyAuthenticated。

l 应用程序仅通过Method Security或 HTTP Request Security使用 isFullyAuthenticated。

原文始发于微信公众号（安迈信科应急响应中心）：【漏洞通告】Spring Security 访问控制错误漏洞