Spring Security 身份认证绕过漏洞风险提示(CVE-2022-31692)

受影响版本：

5.7.0 <= Spring Security <= 5.7.4

5.6.0 <= Spring Security <= 5.6.8

安全版本：

Spring Security >= 5.7.5 

Spring Security >= 5.6.9

安恒信息CERT已验证该漏洞的可利用性：

高危：目前漏洞细节已公开，并且测试代码也已经发现。官方已发布相关安全版本，建议使用相关产品的用户及时进行更新。

1、目前官方已发布安全版本修复上述漏洞，建议受影响的用户升级至安全版本。

下载链接：

https://github.com/spring-projects/spring-security/releases

2、版本< 5.7.0 的用户没有可用的shouldFilterAllDispatcherTypes，可通过添加ObjectPostProcessor的方式：

authorizeHttpRequests().withObjectPostProcessor(new  ObjectPostProcessor<AuthorizationFilter>() {   @Override     public<O extends AuthorizationFilter> O postProcess(O filter) {         filter.setObserveOncePerRequest(false);        filter.setFilterAsyncDispatch(true);         filter.setFilterErrorDispatch(true);         return filter;   }});

安恒信息CERT

2022年11月