描述

Spring Cloud SSO Connector 2.1.2 版本包含一個迴歸，該回歸停用了未繫結到 SSO 服務的資源伺服器中的發行者驗證。 在具有多個 SSO 服務計劃的 PCF 部署中，遠端攻擊者可以使用從另一個服務計劃生成的令牌，對使用此版本的 SSO Connector 的未繫結資源伺服器進行身份驗證。

受影響的 Spring 產品和版本

• Spring Cloud SSO Connector 2.1.2 版本

緩解措施

受影響版本的使用者應採取以下緩解措施

• 已修復此問題的版本包括
  • Spring Cloud SSO Connector：2.1.3
• 或者，您可以執行以下其中一項解決方法
  • 透過服務例項繫結將您的資源伺服器繫結到 SSO 服務計劃
  • 在您的 Spring 應用程式屬性中設定 “sso.connector.cloud.available=true”

鳴謝

Pivotal SSO Service 團隊負責任地報告了此漏洞。

歷史

2018-04-30：釋出初始漏洞報告