【漏洞通告】Spring Security 安全绕过漏洞安全风险通告

近日，嘉诚安全监测到Spring Security存在安全绕过漏洞，且漏洞细节及POC在互联网上公开，漏洞编号为：CVE-2023-34034。

Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架。Spring WebFlux是Spring Framework 5.0中引入的一种响应式Web框架，其核心旨在处理异步、非阻塞和响应式编程范例。

鉴于漏洞危害较大，嘉诚安全提醒相关用户尽快更新至安全版本，避免引发漏洞相关的网络安全事件。

经研判，该漏洞为高危漏洞。在Spring WebFlux应用程序的Spring Security配置中使用无前缀双通配符模式（“**”）会导致Spring Security和Spring WebFlux之间的模式不匹配，可能导致安全绕过，可利用该漏洞在未经身份验证的情况下访问特权端点。

影响范围：

Spring Security 6.1.0 - 6.1.1

Spring Security 6.0.0 - 6.0.4

Spring Security 5.8.0 - 5.8.4

Spring Security 5.7.0 - 5.7.9

Spring Security 5.6.0 - 5.6.11

注：符合以下条件的应用程序易受该漏洞攻击：

Web应用程序使用Spring WebFlux框架（使用较旧的Spring MVC框架的应用程序不受影响）。

Web应用程序使用了上述存在漏洞的Spring Security版本。

web应用程序使用URL路径过滤设置Spring Security访问规则。URL路径模式不以正斜杠字符 (/) 开头。如果 URL 路径包含多段通配符 ( **)，则会增加漏洞的严重性。例如，由于该漏洞，“admin/**”规则不会匹配任何URL，因为它的开头缺少斜杠/，导致任何人都可以访问admin/下的所有网页。

根据影响版本中的信息，建议相关用户尽快更新至安全版本：

Spring Security >= 6.1.2

Spring Security >= 6.0.5

Spring Security >= 5.8.5

Spring Security >= 5.7.10

Spring Security >= 5.6.12

以上版本需要Spring Framework版本：

Spring Framework >= 6.0.11

Spring Framework >= 5.3.29

Spring Framework >= 5.2.25

下载链接请参考：

https://spring.io/projects