Spring Security身份认证绕过漏洞 (CVE-2022-22978) 安全风险通告

时间:2022-05-26

近日,奇安信CERT监测到Spring Security 身份认证绕过漏洞 (CVE-2022-22978) 细节及PoC公开。当Spring Security中使用RegexRequestMatcher进行权限配置,且规则中使用带点号的正则表达式时,未经授权的远程攻击者可通过构造恶意数据包绕过身份认证,导致配置的权限验证失效。目前,奇安信CERT已复现此漏洞,同时鉴于已有细节及PoC公开,建议客户尽快做好自查,及时更新至最新版本。

奇安信CERT已成功复现Spring Security 身份认证绕过漏洞 (CVE-2022-22978),复现截图如下: 

威胁评估

处置建议

目前,官方已发布可更新版本,建议用户及时更新:

Spring Security 5.5.x 升级至 5.5.7 :

https://github.com/spring-projects/spring-security/releases/tag/5.5.7

Spring Security 5.6.x 升级至 5.6.4 :

https://github.com/spring-projects/spring-security/releases/tag/5.6.4

参考资料

[1]https://tanzu.vmware.com/security/cve-2022-22978


联系老师 微信扫一扫关注我们 15527777548/18696195380 在线咨询
关闭