描述

Spring Batch 3.0.9、4.0.1、4.1.0 以及更舊的不支援版本，在接收來自不受信任來源的 XML 資料時，容易受到 XML 外部實體注入 (XXE) 的攻擊。

受影響的 Spring 產品和版本

• Spring Batch 版本 3.0.9、4.0.1、4.1.0 及更舊版本

緩解措施

受影響版本的用戶應採用以下緩解措施

• 將 spring-batch jars 升級至 3.0.10、4.0.2、4.1.1 或更新版本
• 出現此漏洞的 Spring Batch 元件現在預設會停用參考速查表 [1] 中建議的功能，但如果可以啟用該功能 (因為 XML 是從受信任的來源接收)，則允許使用者設定元件。

參考資料

• https://www.owasp.org/index.php/XML_External_Entity_(XXE)_Prevention_Cheat_Sheet

歷史記錄

2019-01-14：發布初始漏洞報告。