Spring Security认证绕过漏洞（CVE-2022-22978）

0x00 漏洞概述

0x01 漏洞详情

Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架。

5月16日，VMware发布安全公告，修复了Spring Security中的一个认证绕过漏洞（CVE-2022-22978），该漏洞的CVSSv3评分为8.2。

在Spring Security 版本5.5.7之前、5.6.4 之前以及不受支持的旧版本中，使用正则表达式中包含". "的RegexRequestMatcher的应用程序容易导致绕过，可利用此漏洞在未授权的情况下绕过身份认证，导致配置的权限验证失效。

影响范围

Spring Security 5.5.x < 5.5.7

Spring Security 5.6.x < 5.6.4

以及其它不受支持的旧版本。

0x02 安全建议

目前此漏洞已经修复，建议受影响用户升级更新到以下修复版本：

Spring Security 5.5.x >= 5.5.7

Spring Security 5.6.x >= 5.6.4

Spring Security >=5.7

下载链接：

https://github.com/spring-projects/spring-security/tags

0x03 参考链接

https://tanzu.vmware.com/security/cve-2022-22978

https://spring.io/blog/2022/05/15/cve-2022-22978-authorization-bypass-in-regexrequestmatcher

https://nvd.nist.gov/vuln/detail/CVE-2022-22978

0x04 版本信息

0x05 附录

原文始发于微信公众号（维他命安全）：【漏洞通告】Spring Security认证绕过漏洞（CVE-2022-22978）