描述

Spring Framework 5.0 到 5.0.4 版、4.3 到 4.3.14 版，以及較舊的不支援版本，提供對多部分請求的用戶端支援。當 Spring MVC 或 Spring WebFlux 伺服器應用程式 (伺服器 A) 收到來自遠端用戶端的輸入，然後使用該輸入向另一個伺服器 (伺服器 B) 發出多部分請求時，它可能會受到攻擊，其中一個額外的多部分被插入到來自伺服器 A 的請求內容中，導致伺服器 B 使用它所期望的部分的錯誤值。這可能會導致權限提升，例如，如果部分內容代表使用者名稱或使用者角色。

為了使攻擊者成功，他們必須能夠猜測伺服器 A 為伺服器 B 的多部分請求選擇的多部分邊界值，這要求攻擊者還必須控制伺服器或能夠透過單獨的攻擊向量查看伺服器 A 的 HTTP 記錄。

受影響的 Spring 產品和版本

• Spring Framework 5.0 到 5.0.4
• Spring Framework 4.3 到 4.3.14
• 較舊的不支援版本也會受到影響

緩解措施

受影響版本的用戶應採用以下緩解措施

• 5.0.x 用戶應升級到 5.0.5
• 4.3.x 用戶應升級到 4.3.15

沒有其他必要的緩解步驟。

致謝

此問題由 GoSecure 的 Philippe Arteau 識別並負責地報告。

歷史記錄

2018-04-05：發布初始漏洞報告