关于Spring Security存在多个漏洞的通报

2022-12-13 03:41:53 CNNVD预警来源：ZONE.CI 全球网 0 阅读模式

1.产品描述：Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。程序未对某些思科发现协议数据标头字段进行正确的长度验证。未经身份认证的攻击者可利用该漏洞造成思科发现协议内存损坏。

2.影响产品或组件及版本：5.6 <= Spring Security < 5.6.9 5.7 <= Spring Security < 5.7.5

3.受影响资产情况：通过资产测绘系统fofa发现，全球共14,540个使用记录，其中第一名美国4937个，第二名中国4292个，第三名韩国672个。

4.技术细节表述：

（1）.CVE-2022-31690 spring-security-oauth2-client 权限提升漏洞

攻击者可以修改客户端通过浏览器向授权服务器发出的请求，如果授权服务器在后续使用包含空范围列表的‘OAuth2 Access Token Response’响应来获取访问token，攻击者可以获得权限提升，以特权身份执行恶意代码。

（2）.CVE-2022-31692 Spring Security 绕过授权漏洞

攻击者可以通过FORWARD或 INCLUDE调度绕过授权规则的影响。当满足以下所有条件时，应用程序会受到漏洞影响：

应用程序期望 Spring Security 应用安全性来 forward 和 include 调度程序类型。

应用程序手动或通过 authorizeHttpRequests 方法使用 AuthorizationFilter。

应用程序配置 FilterChainProxy 以应用 forward 和/或 include 请求。

应用程序将请求 forward / include 到更高权限的安全端点。

应用程序通过 authorizeHttpRequests().shouldFilterAllDispatcherTypes(true) 配置 Spring Security 以应用于每个调度程序类型。