描述

一些 URL 在使用前未被正確清理，這使得攻擊者能夠獲取在 Spring Web 應用程式執行的程序可訪問的任意檔案。

受影響的 Spring 產品和版本

• Spring Framework 3.0.4 至 3.2.11
• Spring Framework 4.0.0 至 4.0.7
• Spring Framework 4.1.0 至 4.1.1
• 其他不受支援的版本也可能受到影響

緩解措施

受影響版本的使用者應採取以下緩解措施

• 3.2.x 使用者應升級到 3.2.12 或更高版本
• 4.0.x 使用者應升級到 4.0.8 或更高版本
• 4.1.x 使用者應升級到 4.1.2 或更高版本

致謝

此問題由 NTT DATA Corporation 的 Toshiaki Maki 發現，並已負責任地報告給 Pivotal。

參考資料

• https://jira.spring.io/browse/SPR-12354
• https://github.com/spring-projects/spring-framework/commit/9beae9ae4226c45cd428035dae81214439324676
• https://github.com/spring-projects/spring-framework/commit/9cef8e3001ddd61c734281a7556efd84b6cc2755
• https://github.com/spring-projects/spring-framework/commit/3f68cd633f03370d33c2603a6496e81273782601

歷史

2014-11-11：首次釋出漏洞報告。