說明

在受影響的 Spring AMQP 版本中，當 org.springframework.amqp.core.Message 被轉換為字串時，可能會不安全地被反序列化。 惡意的 payload 可能被精心設計來利用此漏洞，並啟用遠端程式碼執行攻擊。

受影響的 Spring 產品和版本

• Spring AMQP 版本低於 1.7.4、1.6.11 和 1.5.7

緩解措施

受影響版本的使用者應採取以下緩解措施

• 已修復此問題的版本包括
  • Spring AMQP：2.0.0、1.7.4、1.6.11、1.5.7

鳴謝

此漏洞由 Semmle 的 Man Yue Mo 和 lgtm.com 負責地回報。

參考資料

• https://jira.spring.io/browse/AMQP-766
• https://spring-docs.dev.org.tw/spring-amqp/docs/1.6.11.RELEASE/reference/html/_reference.html#_message

歷史紀錄

2017-09-19：發布初始漏洞報告