描述

在 Spring Framework 版本 5.3.0 - 5.3.16、5.2.0 - 5.2.19 以及較舊的不支援版本中，使用者可以提供特別製作的 SpEL 表達式，這可能會導致阻斷服務 (DoS) 狀況。

受影響的 Spring 產品和版本

• Spring Framework
  • 5.3.0 至 5.3.16
  • 5.2.0 至 5.2.19
  • 較舊且不受支援的版本也受到影響

緩解措施

受影響版本的用戶應套用以下緩解措施：5.3.x 用戶應升級到 5.3.17+。 5.2.x 用戶應升級到 5.2.20+。 不需要其他步驟。 已修復此問題的版本包括

• Spring Framework
  • 5.3.17+
  • 5.2.20+

貢獻者

此漏洞最初由 4ra1n 發現並負責地回報。

參考資料

• https://www.first.org/cvss/calculator/3.0#CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L
• https://cwe.mitre.org/data/definitions/770.html

歷史記錄

• 2022-03-28：發布初始漏洞報告。
• 2022-04-05：澄清已將修補程式向後移植到 Spring Framework 5.2.20。