关于Spring Security访问控制不当漏洞(CVE-2024-22257)的预警提示

发布时间:2024-03-22浏览次数:200

一、漏洞详情

Spring Security是一个身份验证和访问控制框架。

近日,监测到Spring Security中修复了一个访问控制不当漏洞(CVE-2024-22257)。Spring Security多个受影响版本中,当应用程序直接使用AuthenticatedVoter#vote,并向其传递null身份验证参数时,可能导致错误的true返回值。成功利用该漏洞可能破坏Spring Security中的访问控制,导致身份验证和授权绕过、未授权访问等。

建议受影响用户做好资产自查以及预防工作,以免遭受黑客攻击。

二、影响范围

Spring Security 6.2.0 - 6.2.2

Spring Security 6.1.0 - 6.1.7

Spring Security 6.0.0 - 6.0.9

Spring Security 5.8.0 - 5.8.10

Spring Security 5.7.0 - 5.7.11

以及不受支持的旧版本。

三、修复建议

目前该漏洞已经修复,受影响用户可升级到以下版本:

Spring Security 5.7.x:升级到5.7.12

Spring Security 5.8.x:升级到5.8.11

Spring Security 6.0.x:升级到6.0.10(仅企业支持)

Spring Security 6.1.x:升级到6.1.8

Spring Security 6.2.x:升级到6.2.3