說明

Spring Security 與 Spring Framework 5.0.5.RELEASE 結合使用時，在使用方法安全性時存在授權繞過。未經授權的惡意使用者可以獲得對應該受到限制之方法的未授權存取權。

受影響的 Spring 產品和版本

• Spring Framework 5.0.5.RELEASE 和 Spring Security (任何版本)
• 只有在使用 Spring Framework 5.0.5.RELEASE 和 Spring Security 方法安全性的應用程式才會受到影響。此錯誤存在於 Spring Framework 5.0.5.RELEASE 中，但除非與 Spring Security 的方法安全性支援結合使用，否則不視為 CVE。
• 此錯誤僅存在於 Spring Framework 5.0.5.RELEASE 中。如果應用程式未使用 Spring Framework 5.0.5.RELEASE，則不會受到影響。此錯誤不會影響任何 Spring Framework 4.x 版本或任何其他版本的 Spring Framework。

緩解措施

• 使用 Spring Framework 5.x 的使用者應避免使用 Spring Framework 5.0.5.RELEASE。更新到 Spring Security 5.0.5.RELEASE+ 或 Spring Boot 2.0.2.RELEASE+ 會以遞移方式引入 Spring Framework 5.0.6.RELEASE+。但是，使用者應確定其他相依性管理機制也已更新為使用 Spring Framework 5.0.6.RELEASE 或更新版本。
• 使用 Spring Framework 4.x（Spring Security 4.x 或 Spring Boot 1.x）的使用者不受影響，因此無需採取任何措施。
• 無需採取其他緩解措施。

鳴謝

此問題由 Spring Security 團隊內部發現。

歷史記錄

2018-05-09：發布初始漏洞報告

• 2018-07-30：澄清受影響的版本