Spring Security 路径匹配漏洞-低调大师

Spring Security 路径匹配漏洞

2023-07-19 880

漏洞描述

Spring Security 是一套为基于 Spring 的应用程序提供说明性安全保护的安全框架。Spring WebFlux 是一种响应式编程模型来构建的Web应用程序。在 Spring Security 中，通配符字符 ** 可匹配路径分隔符 "/"。而在 Spring WebFlux 不可匹配路径分隔符。

当 Spring WebFlux 使用 Spring Security 时，如果Spring Security使用 ** 来匹配 URL 路径，导致模式匹配的不一致。攻击者通过构造路径绕过 Spring Security 的安全检查，直接访问应用程序中资源。

漏洞名称	Spring Security 路径匹配漏洞
漏洞类型	不恰当实现的标准安全检查
发现时间	2023-07-18
漏洞影响广度	一般
MPS编号	MPS-j3nx-691g
CVE编号	CVE-2023-34034
CNVD编号	-

影响范围

org.springframework.security:spring-security-web@[5.6.0, 5.6.12)

org.springframework.security:spring-security-web@[5.7.0, 5.7.10)

org.springframework.security:spring-security-web@[5.8.0, 5.8.5)

org.springframework.security:spring-security-web@[6.0.0, 6.0.5)

org.springframework.security:spring-security-web@[6.1.0, 6.1.2)

修复方案

Spring Security配置中禁止使用**匹配URL

参考链接

https://www.oscs1024.com/hd/MPS-j3nx-691g

https://nvd.nist.gov/vuln/detail/CVE-2023-34034

Issue

Commit

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/249933

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Spring Security鉴权规则错误配置风险

漏洞描述 Spring Security 是一套为基于Spring的应用程序提供说明性安全保护的安全框架。在 Spring Security 受影响的版本中，由于 Spring Security 的授权规则会应用于整个应用程序上下文，当应用程序中包含多个servlet，并且其中一个为DispatcherServlet时，使用 requestMatchers(String) 方法错误地将非 Spring MVC 的端点添加到授权规则中，攻击者可以发送请求到这个的端点，从而绕过授权规则获得访问权限。漏洞名称 Spring Security鉴权规则错误配置风险漏洞类型关键资源权限分配不当发现时间 2023-07-18 漏洞影响广度 - MPS编号 MPS-l6z0-dktm CVE编号 CVE-2023-34035 CNVD编号 - 影响范围 org.springframework.security:spring-security-config@[6.0.0, 6.0.5) org.springframework.security:spring-security-config@[...

2023-07-19

904

编者注：本文刊登在《新一代堡垒机建设指南》（JumpServer v3.0发布纪念版）序言部分，文章作者为JumpServer开源堡垒机项目创始人广宏伟。点击文章底部“阅读原文”链接，即可下载新版《新一代堡垒机建设指南》白皮书。 “九年时间，用心做好一款堡垒机” 2014年6月到2023年6月，JumpServer开源堡垒机项目已经走过了九年的时间。之前我们常说的口号是：“改变世界，从一点点开始。”那么，在过去九年的时间里，我们为改变堡垒机应用市场所做的努力应该被大众所看见并感受到了。从一个简单的运维脚本萌发，到现在成为累计安装部署至少250,000次的开源项目，JumpServer实现了自我的价值，也承载着用户越来越多的期待，更面临着许多现实的挑战。 JumpServer的V2版本是在项目诞生的第六年（2020 年）发布的。在这个大版本之下，我们坚持按月发布新版本的节奏，在V2的大版本内累计迭代了28个版本。在两年多的时间里，JumpServer的研发团队激进过，也妥协过，在功能迭代的过程中发现了一些产品设计不合理、冗余的地方。而这样长时间的高速迭代也使得JumpServer的部分功...

2023-07-19

825

资源下载

更多资源

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。