領先一步
VMware 提供培訓和認證，以加速您的進度。
瞭解更多Spring Security 安全性建議
CVE-2024-22262：Spring Framework URL 解析與主機驗證 (第三次報告)
描述
使用 UriComponentsBuilder 解析外部提供的 URL (例如透過查詢參數) *且* 對解析後的 URL 主機執行驗證檢查的應用程式，可能容易受到 開放式重新導向 攻擊，如果 URL 在通過驗證檢查後使用，則可能受到 SSRF 攻擊。
這與 CVE-2024-22259 和 CVE-2024-22243 相同，但輸入不同。
受影響的 Spring 產品和版本
Spring Framework
- 6.1.0 - 6.1.5
- 6.0.0 - 6.0.18
- 5.3.0 - 5.3.33
- 較舊且不受支援的版本也受到影響
緩解措施
受影響版本的用戶應升級到相應的修復版本。
| 受影響的版本 | 修復版本 | 可用性 |
|---|---|---|
| 6.1.x | 6.1.6 | OSS |
| 6.0.x | 6.0.19 | OSS |
| 5.3.x | 5.3.34 | OSS |
致謝
此問題由 L0ne1y 發現並負責回報。
參考資料
回報漏洞
要回報 Spring 產品組合中專案的安全性漏洞，請參閱安全性原則