描述
Spring Security 在處理安全約束時不考慮 URL 路徑參數。 通過向請求添加帶有編碼“/”的 URL 路徑參數，攻擊者可能能夠繞過安全約束。 此問題的根本原因是 Servlet 規範中處理路徑參數的方式不明確（見下文）。 一些 Servlet 容器在 getPathInfo() 返回的值中包含路徑參數，而另一些則不包含。 Spring Security 使用 getPathInfo() 返回的值作為將請求對應到安全約束的過程的一部分。 路徑參數的意外出現可能會導致約束被繞過。
Apache Tomcat (所有目前版本) 的使用者不受此漏洞的影響，因為 Tomcat 遵循先前由 Servlet 專家組提供的指導，並從 getContextPath()、getServletPath() 和 getPathInfo() [1] 返回的值中刪除路徑參數。
其他基於 Apache Tomcat 的 Servlet 容器的使用者可能會或可能不會受到影響，具體取決於是否修改了路徑參數的處理方式。
已知 IBM WebSphere Application Server 8.5.x 的使用者會受到影響。
其他實作 Servlet 規範的容器的使用者可能會受到影響。
[1] https://issues.apache.org/bugzilla/show_bug.cgi?id=25015
受影響的 Spring 產品和版本
- Spring Security 3.2.0 - 3.2.9
- Spring Security 4.0.x - 4.1.3
- Spring Security 4.2.0
- 較舊的不支援版本也會受到影響
緩解措施
採用以下緩解措施之一將防止此漏洞。
- 使用已知的 Servlet 容器，該容器不會在 getServletPath() 和 getPathInfo() 的回傳值中包含路徑參數。
- 升級到 Spring Security 3.2.10、4.1.4 或 4.2.1 會拒絕帶有 RequestRejectedException 的請求，如果偵測到編碼後的 "/"。 注意：如果您想要停用此功能，可以將 DefaultHttpFirewall.allowUrlEncodedSlash 設定為 true 來停用。 然而，停用此功能意味著應用程式容易受到攻擊（在 getServletPath() 或 getPathInfo() 中回傳路徑參數的容器中）。
致謝
此問題由 NTT DATA Corporation 的 Shumpei Asahara 和 Yuji Ito 發現，並以負責任的態度向 Pivotal 回報。
參考文獻
