描述

Spring Cloud SSO Connector 2.1.2 版本包含一個迴歸，該回歸停用了未繫結到 SSO 服務的資源伺服器中的發行者驗證。在具有多個 SSO 服務計劃的 PCF 部署中，遠端攻擊者可以透過使用從另一個服務計劃生成的令牌，向未使用此版本 SSO Connector 的未繫結資源伺服器進行身份驗證。

受影響的 Spring 產品和版本

• Spring Cloud SSO Connector 版本 2.1.2

緩解措施

受影響版本的使用者應採取以下緩解措施

• 已修復此問題的釋出版本包括
  • Spring Cloud SSO Connector: 2.1.3
• 或者，您可以執行以下一種解決方法
  • 透過服務例項繫結將資源伺服器繫結到 SSO 服務計劃
  • 在您的 Spring 應用程式屬性中設定“sso.connector.cloud.available=true”

致謝

此漏洞由 Pivotal SSO 服務團隊負責任地報告。

歷史

2018-04-30：初始漏洞報告發布