一、漏洞概述
|
漏洞名稱 |
Spring Security訪問控制漏洞 |
||
|
CVE ID |
CVE-2024-22234 |
||
|
漏洞類型 |
訪問控制破損 |
發現時間 |
2024-02-20 |
|
漏洞評分 |
暫無 |
漏洞等級 |
高危 |
|
攻擊向量 |
網路 |
所需許可權 |
無 |
|
利用難度 |
低 |
使用者互動 |
無 |
|
PoC/EXP |
未公開 |
在野利用 |
未發現 |
Spring Security是一個功能強大且高度可定製的身份驗證和訪問控制框架。
2024年2月20日，啟明星辰VSRC監測到Spring Security中修復了一個訪問控制漏洞（CVE-2024-22234）。
Spring Security版本 6.1.x – 6.1.7之前、6.2.x – 6.2.2 之前，當應用程序直接使用AuthenticationTrustResolver.isFullyAuthenticated（Authentication）方法時，可向其傳遞一個null身份驗證參數，導致錯誤的true返回值，可利用該漏洞破壞訪問控制，可能導致身份驗證和授權繞過、未授權訪問、資訊洩露等。
二、影響範圍
Spring Security 6.1.0 – 6.1.6
Spring Security 6.2.0 – 6.2.1
三、安全措施
3.1升級版本
目前該漏洞已經修復，受影響使用者可升級到以下版本：
Spring Security 6.1.x：升級到 6.1.7
Spring Security 6.2.x：升級到 6.2.2
下載連結：
https://spring.io/projects/spring-security
注意，滿足以下任一條件的應用程序不易受到攻擊：
l應用程序不直接使用AuthenticationTrustResolver.isFullyAuthenticated(Authentication)。
l應用程序未將null傳遞給AuthenticationTrustResolver.isFullyAuthenticated。
l應用程序僅通過 Method Security 或 HTTP Request Security使用 isFullyAuthenticated。
3.2臨時措施
暫無。
3.3通用建議
定期更新系統補丁，減少系統漏洞，提升伺服器的安全性。
加強系統和網路的訪問控制，修改防火牆策略，關閉非必要的應用埠或服務，減少將危險服務（如SSH、RDP等）暴露到公網，減少攻擊面。
使用企業級安全產品，提升企業的網路安全性能。
加強系統使用者和許可權管理，啟用多因素認證機制和最小許可權原則，使用者和軟體許可權應保持在最低限度。
啟用強密碼策略並設置為定期修改。
3.4參考連結
https://spring.io/security/cve-2024-22234
https://nvd.nist.gov/vuln/detail/CVE-2024-22234