漏洞公告
近日，安恒信息CERT监测到Spring Boot Welcome页面存在拒绝服务漏洞(CVE-2023-20883)，目前技术细节及PoC未公开。当Spring Boot与反向代理缓存共同使用时，攻击者可在通过发送特定请求包造成拒绝服务攻击。
该产品主要使用客户行业分布广泛，是主流的Java开发框架之一。该漏洞需在一定前置条件下触发，建议客户尽快做好自查及防护。
漏洞信息
Spring Boot是一个开源框架，旨在简化基于Spring的应用程序的开发和部署。它提供了自动配置、内嵌式容器、起步依赖和生产就绪性等特性，使开发人员能够快速构建高效、可靠的应用程序。
安恒信息CERT基于中央研究院AVPT漏洞治理技术框架预演分数区间为9.3~6.2，关键预演场景如下：
当Exp在野利用，影响核心资产为互联网资产时，AVPT Score上升至9.3分，相较CVSS评分上升1.9分。
当无PoC/Exp，影响一般资产为本机访问资产时，AVPT Score下降至7.1分，相较CVSS评分下降0.3分。
当无PoC/Exp，影响一般资产为物理接触资产时，AVPT Score下降至6.2分，相较CVSS评分下降1.2分。
|
漏洞标题 |
Spring Boot Welcome页面存在拒绝服务漏洞 |
||
|
应急响应等级 |
3级 |
||
|
漏洞类型 |
拒绝服务 |
||
|
影响目标 |
影响厂商 |
Spring |
|
|
影响产品 |
Spring Boot |
||
|
影响版本 |
[3.0.0,3.0.6] [2.7.0,2.7.11] [2.6.0,2.6.14] [2.5.0,2.5.14] 更早不再维护的版本 |
||
|
安全版本 |
[3.0.7,+∞] [2.7.12,+∞] [2.6.15,+∞] [2.5.15,+∞] |
||
|
漏洞编号 |
CVE编号 |
CVE-2023-20883 |
|
|
CNVD编号 |
未分配 |
||
|
CNNVD编号 |
未分配 |
||
|
安恒CERT编号 |
DM-202211-000179 |
||
|
漏洞标签 |
WEB应用、开发框架 |
||
|
CVSS3.1评分 |
7.4（预估） |
危害等级 |
高危 |
|
CVSS向量 |
访问途径（AV） |
网络 |
|
|
攻击复杂度（AC） |
高 |
||
|
所需权限（PR） |
无需任何权限 |
||
|
用户交互（UI） |
不需要用户交互 |
||
|
影响范围（S） |
不变 |
||
|
机密性影响（C） |
无 |
||
|
完整性影响（I） |
高 |
||
|
可用性影响（A） |
高 |
||
|
威胁状态 |
Poc情况 |
未发现 |
|
|
Exp情况 |
未发现 |
||
|
在野利用 |
未发现 |
||
|
研究情况 |
分析中 |
||
|
舆情热度 |
公众号 |
低 |
|
|
Twitter |
低 |
||
|
微博 |
低 |
||
安恒信息 CERT 已验证该漏洞的的可利用性：
修复方案
判断受影响情况：
若满足以下所有情况，则受到此漏洞影响：
-
该应用程序启用了 Spring MVC 自动配置。如果 Spring MVC 在类路径上，则默认情况下就是这种情况。
-
该应用程序利用 Spring Boot 的欢迎页面支持，无论是静态的还是模板化的。
-
应用程序部署在缓存 404 响应的代理后面。
官方修复方案：
-
3.0.x 版本升级到 3.0.7及以上版本
-
2.7.x 版本升级到 2.7.12及以上版本
-
2.6.x 版本升级到 2.6.15及以上版本
-
2.5.x 版本升级到 2.5.15及以上版本
-
更早不再维护的版本升级到3.0.7及以上版本或2.7.12及以上版本
临时修复方案：
配置反向代理不缓存 404 响应或不缓存对应用程序根 (/) 请求的响应。
网络空间资产测绘
安恒CERT的安全分析人员利用Sumap全球网络空间超级雷达，通过资产测绘的方法，对该漏洞进行监测，近3个月数据显示，Spring Boot全球IP测绘数据 118,781 条，域名测绘数据196,191条，国内资产较多。
根据实际调研使用量，内网及互联网网络均有部署。建议客户尽快做好资产排查。
参考资料
https://spring.io/security/cve-2023-20883
安恒信息CERT
2023年5月
原文始发于微信公众号（安恒信息CERT）：【风险预警】Spring Boot Welcome页面存在拒绝服务漏洞(CVE-2023-20883)
- 我的微信
- 微信扫一扫
-
- 我的微信公众号
- 微信扫一扫
-
评论