領先一步
VMware 提供培訓和認證，助您加速進步。
瞭解更多CVE-2023-34042：spring-security.xsd 的許可權分配不正確
描述
spring-security-config jar 包中的 spring-security.xsd 檔案具有全域性可寫許可權，這意味著如果該檔案被提取，任何能夠訪問檔案系統的人都可以對其進行寫入。
雖然目前沒有已知的漏洞利用，但這是一個“CWE-732：關鍵資源的許可權分配不正確”的示例，並可能導致漏洞利用。使用者應更新到最新版本的 Spring Security，以緩解未來可能圍繞此問題發現的任何漏洞利用。
受影響的 Spring 產品和版本
Spring Security
- 6.1.1 - 6.1.3
- 6.0.4 - 6.0.6
- 5.8.4 - 5.8.6
- 5.7.9 - 5.7.10
緩解措施
以下 Spring Security 版本包含針對此漏洞的修復
- 6.1.4+
- 6.0.7+
- 5.8.7+
- 5.7.11+
致謝
此漏洞由 Martin Holland - Oval Business Solutions 負責任地披露
參考資料
報告漏洞
要報告 Spring 組合專案中存在的安全漏洞，請參閱安全策略