描述

Spring Cloud Config，2.2.x 版本在 2.2.2 之前，2.1.x 版本在 2.1.7 之前，以及較舊的不支援版本允許應用程式透過 spring-cloud-config-server 模組提供任意組態檔案。惡意使用者或攻擊者可以使用特殊製作的 URL 發送請求，從而導致目錄遍歷攻擊。

受影響的 Spring 產品和版本

• Spring Cloud Config
  • 2.2.0 到 2.2.1
  • 2.1.0 到 2.1.6

缓解措施

受影響版本的用戶應應用以下緩解措施：2.2.x 用戶應升級到 2.2.2，2.1.x 用戶應升級到 2.1.7。較舊的版本應升級到受支援的分支。沒有其他必要的緩解步驟。請注意，spring-cloud-config-server 應僅在需要它的客戶端的內部網路中可用，並且應使用 Spring Security 保護，這將此漏洞的暴露限制為具有內部網路訪問權限的使用者以及具有適當身份驗證的使用者。已修復此問題的版本包括

• Spring Cloud Config
  • 2.2.2
  • 2.1.7

鳴謝

此問題由 Yiming Xiang（[email protected] 於 NSFOCUS Security Team）識別並負責任地報告。

參考資料

• https://cloud.spring.io/spring-cloud-config/multi/multi__spring_cloud_config_server.html#_security

歷史記錄

• 2020-02-26：發佈初始漏洞報告。