領先一步
VMware 提供培訓和認證，助您加速進步。
瞭解更多CVE-2025-22233: Spring Framework DataBinder 大小寫敏感匹配異常 (第二次更新)
描述
CVE-2024-38820 確保了為配置的 disallowedFields 模式和請求引數名進行與區域設定無關的、小寫轉換。然而，仍然存在可以繞過 disallowedFields 檢查的情況。
受影響的 Spring 產品和版本
Spring Framework
- 6.2.0 - 6.2.6
- 6.1.0 - 6.1.19
- 6.0.0 - 6.0.27
- 5.3.0 - 5.3.42
- 較舊的、不受支援的版本也受到影響
緩解措施
受影響版本的使用者應升級到相應的修復版本。
| 受影響版本 | 修復版本 | 可用性 |
|---|---|---|
| 6.2.x | 6.2.7 | OSS |
| 6.1.x | 6.1.20 | OSS |
| 6.0.x | 6.0.28 | 商業 |
| 5.3.x | 5.3.43 | 商業 |
無需進一步的緩解措施。
通常，我們建議使用僅包含用於資料繫結的屬性的專用模型物件，或使用建構函式繫結，因為建構函式引數明確聲明瞭要繫結什麼，並且透過 declarativeBinding 標誌關閉了 Setter 繫結。請參閱參考文件中的模型設計部分。
對於 Setter 繫結，優先使用 allowedFields（顯式列表）而不是 disallowedFields。
致謝
此問題由 NTT DATA 集團公司的 TERASOLUNA 框架開發團隊負責任地報告。
參考資料
報告漏洞
要報告 Spring 組合專案中存在的安全漏洞，請參閱安全策略