描述

具有 WebSocket 上的 STOMP 端點的 Spring 應用程式容易受到已認證使用者的拒絕服務攻擊。

受影響的 Spring 產品和版本

• Spring Framework
  • 5.3.0至5.3.19
  • 5.2.0至5.2.21
  • 較舊的、不受支援的版本也受到影響

緩解措施

受影響版本的使用者應採用以下緩解措施：5.3.x使用者應升級到5.3.20；5.2.x使用者應升級到5.2.22。無需其他步驟。已修復此問題的版本包括：

• Spring Framework
  • 5.3.20
  • 5.2.22

致謝

此漏洞由 HMS Industrial Networks, Business Unit Ewon, R&D Department - Software 的 David Delbecq 和 Rémy Vermeiren 負責任地報告給 VMware。

參考資料

• https://www.first.org/cvss/calculator/3.0#CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

歷史

• 2022-05-11: 初步漏洞報告發布。