• CVE-2023-34034

• CVE-2023-34035
  

• 高危
  

Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架。

简述：Spring Security中存在路径匹配绕过漏洞，当Spring WebFlux使用Spring Security时，如果Spring Security使用**来匹配URL路径，会导致Spring Security和Spring WebFlux之间的模式匹配不一致，并可能造成安全绕过。

• 5.6.0 <= Spring Security <= 5.6.11

• 5.7.0 <= Spring Security <= 5.7.9

• 5.8.0 <= Spring Security <= 5.8.4

• 6.0.0 <= Spring Security <= 6.0.4

• 6.1.0 <= Spring Security <= 6.1.1

• 5.8.0 <= Spring Security <= 5.8.4
• 6.0.0 <= Spring Security <= 6.0.4
• 6.1.0 <= Spring Security <= 6.1.1

0x05 修复建议

原文始发于微信公众号（浅安安全）：漏洞预警 | Spring Security路径匹配绕过和认证规则配置错误漏洞