描述

Spring Cloud Config 的 2.2.x 版本（2.2.2 之前）、2.1.x 版本（2.1.7 之前）以及更早的舊版本，允許應用程式透過 spring-cloud-config-server 模組提供任意配置檔案。惡意使用者或攻擊者可以透過傳送包含特製 URL 的請求，從而導致目錄遍歷攻擊。

受影響的 Spring 產品和版本

• Spring Cloud Config
  • 2.2.0 至 2.2.1
  • 2.1.0 至 2.1.6

緩解措施

受影響版本的使用者應採取以下緩解措施：2.2.x 使用者應升級到 2.2.2 版本，2.1.x 使用者應升級到 2.1.7 版本。舊版本應升級到受支援的分支。無需其他緩解措施。請注意，spring-cloud-config-server 應僅供需要它的客戶端透過內部網路訪問，並且應使用 Spring Security 進行保護，這可以限制此漏洞暴露給具有內部網路訪問許可權的使用者以及經過適當身份驗證的使用者。已修復此問題的釋出版本包括：

• Spring Cloud Config
  • 2.2.2
  • 2.1.7

致謝

此問題由 NSFOCUS 安全團隊的 Yiming Xiang（[email protected]）負責任地報告並識別。

參考資料

• https://cloud.spring.io/spring-cloud-config/multi/multi__spring_cloud_config_server.html#_security

歷史

• 2020-02-26：首次漏洞報告發布。