一、漏洞概述
|
漏洞名稱 |
Spring Framework URL解析不當漏洞 |
||
|
CVE ID |
CVE-2024-22243 |
||
|
漏洞類型 |
重定向、SSRF |
發現時間 |
2024-02-22 |
|
漏洞評分 |
8.1 |
漏洞等級 |
高危 |
|
攻擊向量 |
網路 |
所需許可權 |
無 |
|
利用難度 |
低 |
使用者互動 |
是 |
|
PoC/EXP |
未公開 |
在野利用 |
未發現 |
Spring Framework 是一個功能強大的 Java 應用程序框架，旨在提供高效且可擴展的開發環境。UriComponentsBuilder是Spring Framework 提供的一個實用工具類，用於構建和處理URI。
2024年2月22日，啟明星辰VSRC監測到Spring Framework中修復了一個URL解析不當漏洞（CVE-2024-22243）。
Spring Framework受影響版本中，由於UriComponentsBuilder中在處理URL 時未正確過濾使用者資訊中的」[「，可能導致威脅者構造惡意URL繞過驗證。當應用程序使用UriComponentsBuilder來解析外部提供的URL（如通過查詢參數）並對解析的URL的主機執行驗證檢查時可能容易受到Open重定向攻擊和SSRF攻擊，導致網路釣魚和內部網路探測等。
二、影響範圍
Spring Framework 6.1.0 – 6.1.3
Spring Framework 6.0.0 – 6.0.16
Spring Framework 5.3.0 – 5.3.31
以及不受支持的舊版本。
三、安全措施
3.1升級版本
目前該漏洞已經修復，受影響使用者可升級到以下版本：
Spring Framework 6.1.x：升級到 6.1.4
Spring Framework 6.0.x：升級到 6.0.17
Spring Framework 5.3.x：升級到 5.3.32
下載連結：
https://spring.io/projects/spring-framework
3.2臨時措施
暫無。
3.3通用建議
定期更新系統補丁，減少系統漏洞，提升伺服器的安全性。
加強系統和網路的訪問控制，修改防火牆策略，關閉非必要的應用埠或服務，減少將危險服務（如SSH、RDP等）暴露到公網，減少攻擊面。
使用企業級安全產品，提升企業的網路安全性能。
加強系統使用者和許可權管理，啟用多因素認證機制和最小許可權原則，使用者和軟體許可權應保持在最低限度。
啟用強密碼策略並設置為定期修改。
3.4參考連結
https://spring.io/security/cve-2024-22243
https://github.com/spring-projects/spring-framework/commit/7ec5c994c147f0e168149498b1c9d4a249d69e87