描述

Spring Cloud Config 的 2.2.x 版本（2.2.3 之前）、2.1.x 版本（2.1.9 之前）以及更早的舊版本（不受支援）允許應用程式透過 spring-cloud-config-server 模組提供任意配置檔案。惡意使用者或攻擊者可以透過精心構造的 URL 傳送請求，從而導致目錄遍歷攻擊。

受影響的 Spring 產品和版本

• Spring Cloud Config
  • 2.2.0 至 2.2.2
  • 2.1.0 至 2.1.8

緩解措施

受影響版本的使用者應採取以下緩解措施。舊版本應升級到受支援的分支。無需其他緩解措施。請注意，spring-cloud-config-server 應僅對需要它的客戶端在內部網路中可用，並且應透過 Spring Security 進行保護，這會將此漏洞的暴露範圍限制在有內部網路訪問許可權的人員以及具有適當身份驗證的使用者。

• Spring Cloud Config
  • 2.2.3
  • 2.1.9

致謝

該問題由 Fei Lu ([email protected]) 和 [email protected] 發現並負責任地報告。

參考資料

• https://cloud.spring.io/spring-cloud-config/multi/multi__spring_cloud_config_server.html#_security

歷史

• 2020-05-15：首次釋出漏洞報告。
• 2020-06-01：將版本更新至 2.1.9 並增加致謝。