Spring Security身份認(rèn)證繞過(guò)漏洞 (CVE-2022-22978) 安全風(fēng)險(xiǎn)通告
近日，奇安信CERT監(jiān)測(cè)到Spring Security 身份認(rèn)證繞過(guò)漏洞 (CVE-2022-22978) 細(xì)節(jié)及PoC公開。當(dāng)Spring Security中使用RegexRequestMatcher進(jìn)行權(quán)限配置，且規(guī)則中使用帶點(diǎn)號(hào)的正則表達(dá)式時(shí)，未經(jīng)授權(quán)的遠(yuǎn)程攻擊者可通過(guò)構(gòu)造惡意數(shù)據(jù)包繞過(guò)身份認(rèn)證，導(dǎo)致配置的權(quán)限驗(yàn)證失效。目前，奇安信CERT已復(fù)現(xiàn)此漏洞，同時(shí)鑒于已有細(xì)節(jié)及PoC公開，建議客戶盡快做好自查，及時(shí)更新至最新版本。
| Spring Security 身份認(rèn)證繞過(guò)漏洞 |
| | | |
| | | |
| | | |
| | | |
|
| 奇安信CERT風(fēng)險(xiǎn)評(píng)級(jí) | |
| |
|
| | | 技術(shù)細(xì)節(jié)狀態(tài) |
| | | |
| 當(dāng)Spring Security中使用RegexRequestMatcher進(jìn)行權(quán)限配置，且規(guī)則中使用帶點(diǎn)號(hào)(.)的正則表達(dá)式時(shí)，未經(jīng)授權(quán)的遠(yuǎn)程攻擊者可通過(guò)構(gòu)造惡意數(shù)據(jù)包繞過(guò)身份認(rèn)證，導(dǎo)致配置的權(quán)限驗(yàn)證失效。 |
| Spring Security 5.5.x < 5.5.7Spring Security 5.6.x < 5.6.4Spring Security 其他低版本同樣受影響 |
| Spring Security 5.5.x >= 5.5.7Spring Security 5.6.x >= 5.6.4 |
| 使用Spring Security作為安全訪問(wèn)控制解決方案的項(xiàng)目 |
奇安信CERT已成功復(fù)現(xiàn)Spring Security 身份認(rèn)證繞過(guò)漏洞 (CVE-2022-22978)，復(fù)現(xiàn)截圖如下:
| Spring Security 身份認(rèn)證繞過(guò)漏洞 |
| | | |
| | | |
| | |
| |
| |
| |
| |
| |
| |
| |
| 未經(jīng)授權(quán)的遠(yuǎn)程攻擊者可利用此漏洞構(gòu)造數(shù)據(jù)包繞過(guò)身份認(rèn)證，導(dǎo)致配置的權(quán)限驗(yàn)證失效。 |
