領先一步
VMware 提供培訓和認證，以加速您的進度。
了解更多Spring Security 安全公告
CVE-2023-34042：spring-security.xsd 的不正確權限指派
描述
spring-security-config jar 內的 spring-security.xsd 檔案具有全域可寫入權限，這表示如果將其解壓縮，任何有權存取檔案系統的人都可以寫入。
雖然目前沒有已知的漏洞利用，但這是「CWE-732：關鍵資源的不正確權限指派」的一個例子，可能會導致漏洞利用。使用者應更新到最新版本的 Spring Security，以減輕未來發現的與此問題相關的任何漏洞利用。
受影響的 Spring 產品和版本
Spring Security
- 6.1.1 - 6.1.3
- 6.0.4 - 6.0.6
- 5.8.4 - 5.8.6
- 5.7.9 - 5.7.10
緩解措施
以下 Spring Security 版本包含此漏洞的修復程式
- 6.1.4+
- 6.0.7+
- 5.8.7+
- 5.7.11+
致謝
此漏洞由 Martin Holland - Oval Business Solutions 負責地揭露
參考資料
回報漏洞
若要回報 Spring Portfolio 內專案的安全漏洞，請參閱安全策略