Spring Security授权绕过漏洞安全风险通告

近日，嘉诚安全监测到Spring Security中修复了一个授权绕过漏洞，漏洞编号为：CVE-2024-38821。

Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架。

鉴于漏洞危害较大，嘉诚安全提醒相关用户尽快更新至安全版本，避免引发漏洞相关的网络安全事件。

经研判，该漏洞为高危漏洞。当Spring WebFlux应用程序使用Spring的静态资源支持，并且在静态资源上应用了非permitAll的授权规则时，某些情况下可能导致授权绕过，未经身份验证的攻击者可构造恶意请求利用该漏洞绕过授权规则，从而未授权访问这些静态资源。

影响版本：

Spring Security 5.7.0 - 5.7.12

Spring Security 5.8.0 - 5.8.14

Spring Security 6.0.0 - 6.0.12

Spring Security 6.1.0 - 6.1.10

Spring Security 6.2.0 - 6.2.6

Spring Security 6.3.0 - 6.3.3

以及不受支持的旧版本。

目前该漏洞已经修复，受影响用户可升级到以下版本：

Spring Security 5.7.x：升级到5.7.13（仅限企业支持）

Spring Security 5.8.x：升级到5.8.15（仅限企业支持）

Spring Security 6.0.x：升级到6.0.13（仅限企业支持）

Spring Security 6.1.x：升级到6.1.11（仅限企业支持）

Spring Security 6.2.x：升级到6.2.7或更高版本

Spring Security 6.3.x：升级到6.3.4或更高版本

下载链接：

https://github.com/spring-projects/spring-security/tags

参考链接：

https://spring.io/security/cve-2024-38821

https://spring.io/projects/spring-security

https://github.com/spring-projects/spring-security/commit/0e257b56ce35402558a260ffa6b368982f9a7934