Spring Data REST 敏感信息泄露漏洞-低调大师

Spring Data REST 敏感信息泄露漏洞

2022-09-20 408

漏洞描述

Spring Data REST是一个用于构建restful服务的 Spring Web 框架。

在 Spring Data REST 中允许通过 HTTP PATCH 方法访问公开的资源的应用程序，但由于对请求的校验不完全，导致可以通过请求底层域模型的结构来获取隐藏的实体属性。

攻击者可利用该漏洞获取敏感信息。

漏洞名称	Spring Data REST 敏感信息泄露漏洞
漏洞类型	信息暴露
发现时间	2022/9/20
漏洞影响广度	一般
MPS编号	MPS-2022-12709
CVE编号	CVE-2022-31679
CNVD编号	-

影响范围

org.springframework.data:spring-data-rest-webmvc@[3.7.0, 3.7.3)

org.springframework.data:spring-data-rest-webmvc@[1.0.0.RELEASE, 3.6.7)

修复方案

升级org.springframework.data:spring-data-rest-webmvc到 3.6.7 或 3.7.3 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-12709

https://nvd.nist.gov/vuln/detail/CVE-2022-31679

https://tanzu.vmware.com/security/cve-2022-31679

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/210994

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

EasyTrans 2.0.3 发布让您少写30%的多表sql

更新内容：字典翻译支持集合翻译比如爱好有篮球，足球对应的code=[0,1] 添加国产orm beetl支持支持的ORM框架： 1、Mybatis Plus 2、JPA 3、 TK Mybatis 4、BeetlSQL 组件介绍：表里我们经常存放字典码，外键。给前端展示的时候要展示字典描述 (比如 sex 0 代表男)，外键要显示 title/name (如 userid 1 要翻译为张三)。字典比较简单，很多项目都直接交给前端翻译，但是外键翻译是必须要后台来做的，最常见的做法就是表 join ，这样又要自己写 sql 比较麻烦。使用 Easy Trans，只需要一个注解就可以搞定数据翻译。支持的场景：字典翻译把 sex 0 翻译为男普通外键翻译 / 唯一键翻译框架使用 mp/jpa 能力自动帮你去执行 sql 根据外键查询 name/title 并且 set 到你的 vo 字段上跨微服务翻译比如 order (订单服务) user (用户服务) 是 2 个微服务，但是 order 要展示创建人姓名，表里只有 user id 可以使用跨微服...

2022-09-20

410

漏洞简述 OneDev 是开源的一体化轻量DevOps平台，在OneDev 7.4.14及以前版本中存在路径遍历漏洞，具有项目管理权限的攻击者可以将恶意 jar 文件上传到 lib 目录，覆盖原有jar包，攻击者可利用此漏洞在服务器中写入任意文件或远程执行恶意代码。漏洞CVSS评分：8.8（高危）受影响组件版本范围：Onedev <= v7.4.14 漏洞分析问题代码分析项目管理员可以在 OneDev 的build模块对自己的一个项目进行构建，同时在build模块中提供了手动上传Artifacts功能。以v7.4.14为例，当用户点击上传后会调用ArtifactUploadPanel.java中的onSubmit函数将该用户选择的自定义文件上传到服务器，其中如果用户自定义了Directory , filePath将会采用字符串拼接的方式将用户自定义的目录名和文件名进行组合，导致攻击者可以上传文件至任意路径。上传 Artifacts 流程验证在上传Artifacts时任意选择一张图片进行上传，Directory可以自定义，这里先留空。上传时如果自定义目录名为空，则默...

2022-09-20

327

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。