描述

Spring Cloud Config 2.1.x 版本低於 2.1.2、2.0.x 版本低於 2.0.4 以及 1.4.x 版本低於 1.4.6，以及更舊的不支援版本，允許應用程式透過 spring-cloud-config-server 模組提供任意組態檔。惡意使用者或攻擊者可以傳送使用特殊製作的 URL 的請求，進而導致目錄遍歷攻擊。

受影響的 Spring 產品和版本

• Spring Cloud Config 2.1.0 至 2.1.1
• Spring Cloud Config 2.0.0 至 2.0.3
• Spring Cloud Config 1.4.0 至 1.4.5
• 較舊的不支援版本也受到影響

緩解措施

受影響版本的用戶應採用下列緩解措施

• 2.1.x 用戶應升級至 2.1.2
• 2.0.x 用戶應升級至 2.0.4
• 1.4.x 用戶應升級至 1.4.6
• 較舊版本應升級至受支援的分支
• 請注意，spring-cloud-config-server 應該只在需要它的內部網路對客戶端可用，並且應該使用 Spring Security 保護，這將此漏洞的暴露限制於具有內部網路存取權限以及具有適當驗證的使用者。

致謝

此問題由 Vern（[email protected] 來自平安星河實驗室）發現並負責地報告。

參考

• https://cloud.spring.io/spring-cloud-config/multi/multi__spring_cloud_config_server.html#_security'>保護 Spring Cloud Config Server 文件。

歷史

2019-04-16：發布了初始漏洞報告。