【漏洞通告】Spring Framework拒绝服务漏洞（CVE-2024-22233）

一、漏洞概述

漏洞名称	Spring  Framework拒绝服务漏洞
CVE   ID	CVE-2024-22233
漏洞类型	Dos	发现时间	2024-01-23
漏洞评分	7.5	漏洞等级	高危
攻击向量	网络	所需权限	无
利用难度	低	用户交互	无
PoC/EXP	未公开	在野利用	未发现

Spring Framework 是一个功能强大的 Java 应用程序框架，旨在提供高效且可扩展的开发环境。

2024年1月23日，启明星辰VSRC监测到Spring Framework中修复了一个拒绝服务漏洞（CVE-2024-22233），该漏洞的CVSSv3评分为7.5。

Spring Framework 版本 6.0.15 和 6.1.2 中，当应用程序使用Spring MVC，且classpath类路径中包含Spring Security 6.1.6+ 或 6.2.1+时，威胁者可发送特制HTTP请求导致拒绝服务。

二、影响范围

Spring Framework 版本6.0.15

Spring Framework 版本6.1.2

注意，通常Spring Boot 应用程序需要org.springframework.boot:spring-boot-starter-web和org.springframework.boot:spring-boot-starter-security依赖项来满足上述条件。

Spring Framework 版本6.0.15和6.1.2分别被 Spring Boot 3.1.7 和 3.2.1 使用。

三、安全措施

3.1 升级版本

目前该漏洞已经修复，受影响用户可升级到以下版本：

Spring Framework 版本6.0.15：可升级到 6.0.16。

Spring Framework 版本6.1.2：可升级到 6.1.3。

下载链接：

https://github.com/spring-projects/spring-framework/releases

3.2 临时措施

Spring Boot用户可升级到Spring Boot 3.1.8（升级到Spring Framework 6.0.16）、3.2.2（升级到Spring Framework 6.1.3）或更高版本。

下载链接：

https://github.com/spring-projects/spring-boot/releases

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升服务器的安全性。

加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

使用企业级安全产品，提升企业的网络安全性能。

加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://spring.io/security/cve-2024-22233/

https://spring.io/projects/spring-framework/

原文始发于微信公众号（启明星辰安全简讯）：【漏洞通告】Spring Framework拒绝服务漏洞（CVE-2024-22233）