描述

如果使用 Spring HATEOAS 產生基於超媒體的回應的反應式 Web 應用程式，未透過受信任的代理程式來確保標頭的正確性，或者如果沒有任何其他機制來處理 (並可能丟棄) WebFlux 或底層 HTTP 伺服器層級的轉發標頭，則可能暴露於惡意的轉發標頭。

若要使應用程式受到影響，它需要滿足以下要求

• 需要使用反應式 Web 堆疊 (Spring WebFlux) 和 Spring HATEOAS 在基於超媒體的回應中建立連結。
• 應用程式基礎結構不會防範用戶端提交 (X-)Forwarded… 標頭。

受影響的 Spring 產品和版本

Spring HATEOAS

• 1.5.4 或更舊版本
• 2.0.4 或更舊版本
• 2.1.0

緩解措施

建議應用程式升級到 Spring HATEOAS 版本

• 1.5.5 或更新版本
• 2.0.5 或更新版本
• 2.1.1 或更新版本

或者，可以部署基礎結構手段，以確保在將請求轉發到應用程式之前，忽略用戶端提交的 (X-)Forwarded… 標頭。

貢獻

此問題的來源最初由 Hans Hosea Schaefer (ing.de) 發現