描述

在 Spring Cloud Data Flow 中，版本 2.6.x 低於 2.6.5，版本 2.5.x 低於 2.5.4，當請求工作執行時，應用程式容易受到 SQL 注入的攻擊。

受影響的 Spring 產品和版本

• Spring Cloud Data Flow
  • 2.6.x
  • 2.5.x

缓解措施

使用者應升級至 2.5.4 及更高版本。已修復此問題的版本包括

• Spring Cloud Data Flow
  • 2.7.0
  • 2.6.5
  • …

描述

在使用 Spring Cloud Task 2.2.4.RELEASE 及更低版本的應用程式中，當在 TaskExplorer 中執行某些查詢時，可能容易受到 SQL 注入的攻擊。

受影響的 Spring 產品和版本

• Spring Cloud Task
  • 2.2.4 及更低版本

缓解措施

使用者應升級至 2.2.5 及更高版本。已修復此問題的版本包括

• Spring Cloud Task
  • 2.3.0
  • …

描述

在 Spring Framework 版本 5.2.0 - 5.2.8、5.1.0 - 5.1.17、5.0.0 - 5.0.18、4.3.0 - 4.3.28 以及較舊的不支援版本中，取決於使用的瀏覽器，可能通過使用…來繞過來自 CVE-2015-5211 的針對 RFD 攻擊的保護措施

描述

Spring Cloud Netflix，版本 2.2.x 低於 2.2.4，版本 2.1.x 低於 2.1.6 以及較舊的不支援版本，允許應用程式使用 Hystrix 儀表板 proxy.stream 端點來向主機伺服器可訪問的任何伺服器發出請求…

描述

Spring Integration framework 提供 Kryo Codec 實現，作為 Java（反）序列化的替代方案。當 Kryo 配置了預設選項時，所有未註冊的類別都會按需解析。這導致了“反序列化 gadgets…

描述

當配置為啟用預設類型時，Jackson 包含一個 反序列化漏洞，可能會導致任意程式碼執行。Jackson 通過將已知的“反序列化 gadgets”列入黑名單來修復此漏洞。

Spring Batch 配置 Jackson 時啟用了 全域預設類型，這意味著通過先前的漏洞，如果滿足以下所有條件，則可以執行任意程式碼

• Spring Batch 的 Jackson 支援正被用於序列化工作的 ExecutionContext。
• 惡意使用者獲得對 JobRepository 使用的資料儲存區的寫入權限（儲存要反序列化的資料的位置）。

為了防止此類型的攻擊，Jackson 阻止反序列化一組不受信任的 gadget 類別。Spring Batch 應該在啟用預設類型時主動阻止未知的“反序列化 gadgets”。

受影響的 Spring 產品和版本

• Spring Batch
  • 4.0.0 到 4.0.4
  • 4.1.0 到 4.1.4
  • 4.2.0 到 4.2.2

缓解措施

受影響版本的使用者應升級到 4.2.3 或更高版本。已修復此問題的版本包括

• Spring Batch
  • 4.2.3

信用

此問題由 Srikanth 發現並負責地報告…

描述

Spring Cloud Config，版本 2.2.x 低於 2.2.3，版本 2.1.x 低於 2.1.9 以及較舊的不支援版本，允許應用程式通過 spring-cloud-config-server 模組提供任意配置文件。惡意使用者或攻擊者…

描述

Spring Security 版本 5.2.x 低於 5.2.4 和 5.3.x 低於 5.3.2 在 SAML 響應驗證期間包含簽名封裝漏洞。當使用 spring-security-saml2-service-provider 元件時，惡意使用者可以仔細地…

描述

Spring Security 版本 5.3.x 低於 5.3.2、5.2.x 低於 5.2.4、5.1.x 低於 5.1.10、5.0.x 低於 5.0.16 和 4.2.x 低於 4.2.16 在可查詢文本加密器的實現中使用帶有 CBC 模式的固定 null 初始化向量…

描述

Reactor Netty HttpServer，版本 0.9.3 和 0.9.4，暴露於 URISyntaxException，導致連接過早關閉，而不是產生 400 響應。

受影響的 Spring 產品和版本

• Reactor Netty
  • 0.9.3
  • 0.9.4

缓解措施

受影響版本的使用者應升級到 0.9.5 (reactor-bom Dysprosium SR-5)。不需要其他步驟。

• Reactor Netty
  • 0.9.5

信用

此問題是…