描述

描述 在 Spring Cloud Function 框架中，版本 4.1.x 早於 4.1.2，版本 4.0.x 早於 4.0.8，當應用程式嘗試使用不存在的函式組合函式時，容易受到 DOS 攻擊。

具體來說，當以下所有情況都為真時，應用程式是易受攻擊的

使用者正在使用 Spring Cloud Function Web 模組

受影響的 Spring 產品和版本 Spring Cloud Function 框架 4.1.0 至 4.1.2 4.0.0 至 4.0.8

參考資料 https://springframework.tw/security/cve-2022-22979 https://checkmarx.com/blog/spring-function-cloud-dos-cve-2022-22979-and-unintended-function-invocation/ 歷史 2020-01-16：首次漏洞報告發布。

緩解措施

受影響版本的使用者應升級到相應的修復版本。

受影響版本的使用者應採用以下緩解措施。4.1.x 使用者應升級到 4.1.2。4.0.x 使用者應升級到 4.0.8。無需其他步驟。

致謝

此問題由 VNPT-VCI 的 devme4f 識別並負責任地報告