0x01

漏洞状态

漏洞细节

漏洞POC

漏洞EXP

在野利用

未知

未知

未知

未知

0x02

漏洞描述

Spring Framework是spring里面的一个基础开源框架,主要用于javaee的企业开发。

2022年5月11日,VMware发布安全公告,修复了多个存在于Spring Framework中的中危漏洞。漏洞详情如下:

1. Spring Framework拒绝服务漏洞

Spring Framework拒绝服务漏洞

漏洞编号

CVE-2022-22970  

漏洞类型

拒绝服务

漏洞等级

中危

公开状态

未知

在野利用

未知

漏洞描述

若处理文件上传的 Spring MVC或Spring WebFlux 应用程序依赖数据绑定将 MultipartFile或 javax.servlet.Part 设置为模型对象中的字段,则它容易受到 DoS 攻击。

2. Spring Framework拒绝服务漏洞

Spring Framework拒绝服务漏洞

漏洞编号

CVE-2022-22971

漏洞类型

拒绝服务

漏洞等级

中危

公开状态

未知

在野利用

未知

漏洞描述

具有STOMP over WebSocket端点的Spring应用程序容易受到经过身份验证的用户的拒绝服务攻击。

0x03

漏洞等级

中危

0x04

影响版本

Vmware Spring Framework

5.3.0-5.3.19

5.2.0-5.2.21

旧的、不受支持的版本

0x05

修复建议

厂商已发布补丁修复漏洞,用户请尽快更新至安全版本:5.3.x 用户应升级到 5.3.20;5.2.x 用户应升级到 5.2.22。下载链接如下:

https://github.com/spring-projects/spring-framework/releases/

与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。

0x05

时间轴

2022-05-11

VMware发布安全公告,修复了多个存在于Spring Framework中的中危漏洞。

2022-05-12

360漏洞云发布安全动态。