|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
身份认证绕过 |
|
|
|
|
|
|
|
|
|
|||
|
|
|
||
|
|
|
||
|
|
|||
|
|
|
|
|
|
|
|
|
|
|
漏洞描述 |
当Spring Security中使用RegexRequestMatcher进行权限配置，且规则中使用带点号(.)的正则表达式时，未经授权的远程攻击者可通过构造恶意数据包绕过身份认证，导致配置的权限验证失效。 |
||
|
影响版本 |
Spring Security 5.5.x < 5.5.7 Spring Security 5.6.x < 5.6.4 Spring Security 其他低版本同样受影响 |
||
|
不受影响版本 |
Spring Security 5.5.x >= 5.5.7 Spring Security 5.6.x >= 5.6.4 |
||
|
其他受影响组件 |
使用Spring Security作为安全访问控制解决方案的项目 |
||
奇安信CERT已成功复现Spring Security 身份认证绕过漏洞 (CVE-2022-22978)，复现截图如下:
威胁评估
|
|
|
|||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|||
|
|
|
|||
|
|
|
|||
|
|
|
|||
|
|
|
|||
|
|
|
|||
|
|
|
|||
|
|
未经授权的远程攻击者可利用此漏洞构造数据包绕过身份认证，导致配置的权限验证失效。 |
|||
处置建议
目前，官方已发布可更新版本，建议用户及时更新：
Spring Security 5.5.x 升级至 5.5.7 ：
https://github.com/spring-projects/spring-security/releases/tag/5.5.7
Spring Security 5.6.x 升级至 5.6.4 ：
https://github.com/spring-projects/spring-security/releases/tag/5.6.4
参考资料
[1]https://tanzu.vmware.com/security/cve-2022-22978
原文始发于微信公众号（安全内参）：Spring Security身份认证绕过漏洞 (CVE-2022-22978) 安全风险通告
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论