說明

Spring Batch Admin 未包含跨站請求偽造 (CSRF) 保護，這可能允許攻擊者製作惡意網站，以執行對 Spring Batch Admin 的請求。

受影響的 Spring 產品和版本

• Spring Batch Admin 所有版本

緩解措施

受影響版本的用戶應套用以下緩解措施

• Spring Batch Admin 已於 2018 年 1 月 1 日終止生命週期。Spring Cloud Data Flow 是用於管理和監控 Spring Batch 作業的建議替代方案。

鳴謝

此漏洞由 Wen Bin Kong 負責通報。

參考資料

• https://spring-docs.dev.org.tw/spring-batch-admin
• https://github.com/spring-projects/spring-batch-admin/blob/master/MIGRATION.md

歷程記錄

2018-03-16：發布初始漏洞報告。