描述

當針對 OAuth 2 API 提供者授權應用程式時，Spring Social 容易受到跨網站請求偽造 (CSRF) 攻擊。 該攻擊涉及惡意使用者使用 OAuth 2 API 提供者的假帳戶開始 OAuth 2 授權流程，但透過欺騙受害者在其瀏覽器中訪問回呼請求來完成。 因此，攻擊者將透過假冒的提供者帳戶存取受害者在易受攻擊網站上的帳戶。

受影響的 Spring 產品和版本

• Spring Social Core 1.0.0 到 1.0.3
• Spring Social Core 1.1.0 到 1.1.2

缓解措施

受影響的 Spring Social 版本的使用者應升級如下

• 對於 Spring Social 1.0.x，升級到 1.1.3+
• 對於 Spring Social 1.1.x，升級到 1.1.3+

在上述版本中，Spring Social 需要在回呼請求中存在一個 `state` 參數。 如果找不到，將拋出 IllegalStateException 並終止授權流程。

鳴謝

這個問題首先由 Include Security 的 Kris Bosch 發現。 然後 sourceclear 的 Paul Ambrosini (https://srcclr.com) 確定了根本原因、易受攻擊的程式庫和易受攻擊的程式碼。

參考

• https://blog.srcclr.com/spring-social-core-vulnerability-disclosure/

歷史

2015-Nov-12：發布初始漏洞報告。