漏洞公告 | VMware Spring-Security-oauth2-client 权限提升漏洞

近日，华云安安全团队发现了VMware Spring发布安全公告，修复了一个存在于Spring Security中的安全漏洞。对此，华云安建议用户及时更新修复。

【产品描述】

 Spring Security 是基于 Spring 的一个提供身份验证、授权和防止常见攻击的框架。

【漏洞编号】CVE-2022-31690

【风险等级】高危

【影响版本】

5.6 <= Spring Security < 5.6.9

5.7 <= Spring Security < 5.7.5

【受影响资产情况】

【技术细节表述】

攻击者可以修改客户端通过浏览器向授权服务器发出的请求，如果授权服务器在后续使用包含空范围列表的‘OAuth2 Access Token Response’响应来获取访问token，攻击者可以获得权限提升，以特权身份执行恶意代码。

【修补措施】

官方已发布更新修复，参考链接如下：

https://github.com/spring-projects/spring-security/releases

【漏洞来源】

https://github.com/spring-projects/spring-security/releases