登录

欢迎user新华三退出

国家 / 地区

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们
docurl=/cn/Products___Technology/Products/IP_Security/Security_Research/Home/Notice/Notice/202305/1844470_30003_0.htm

Spring Framework身份认证绕过漏洞通告（CVE-2023-20860）

【发布时间：2023-05-11】

新华三盾山实验室

2023/03/22


1. 漏洞综述

1.1 漏洞背景

Spring Framework是一个基础开源框架，为开发Java应用程序提供全面的基础架构支持。Spring Framework由Core Container、Data Access/Integration、Web、AOP、Instrumentation、Messaging以及Tes等模块组成，主要用于javaee的企业开发。近日，新华三盾山实验室监测到Spring官方发布了安全公告，修复了一个存在于Spring Framework中的身份认证绕过漏洞（CVE-2023-20860），攻击者利用该漏洞可绕过身份认证。

1.2 漏洞详情

由于Spring Framework存在身份认证绕过漏洞，当Spring Security使用mvcRequestMatcher配置并将“**”作为匹配模式时，会导致Spring Security和Spring MVC之间的模式匹配存在差异，恶意攻击者成功利用此漏洞可绕过身份认证机制。

2. 影响范围

· Spring Framework 6.0.x <= 6.0.6

· Spring Framework 5.3.x <= 5.3.25

注：Spring Framework 5.3 之前的版本不受影响

3. 严重等级

威胁等级

高危

影响程度

广泛

利用价值

高

利用难度

低

漏洞评分

9.1

4. 处置方法

4.1 官方补丁

目前官方已修复该漏洞，受影响用户可以升级更新到安全版本。官方下载链接：https://spring.io/projects/spring-framework

5. 参考链接

https://spring.io/security/cve-2023-20860

新华三官网
联系我们