描述

在Spring Framework 6.0.x（截至6.0.5）、6.1.x和6.2.x版本中，當應用程式設定帶有非ASCII字元集的“Content-Disposition”頭，並且檔名屬性源自使用者提供輸入時，應用程式易受反射檔案下載（RFD）攻擊。

具體而言，當所有以下條件都滿足時，應用程式是脆弱的：

• 頭資訊使用org.springframework.http.ContentDisposition準備。
• 檔名透過ContentDisposition.Builder#filename(String, Charset)設定。
• 檔名的值源自使用者提供輸入。
• 應用程式未對使用者提供輸入進行淨化。
• 下載的響應內容被攻擊者注入惡意命令（詳細資訊請參閱 RFD 論文參考）。

在以下任何一種情況為真時，應用程式不易受攻擊：

• 應用程式未設定“Content-Disposition”響應標頭。
• 頭資訊未透過org.springframework.http.ContentDisposition準備。
• 檔名透過以下方式之一設定
  • ContentDisposition.Builder#filename(String)，或
  • ContentDisposition.Builder#filename(String, ASCII)
• 檔名並非源自使用者提供輸入。
• 檔名源自使用者提供輸入但已由應用程式淨化。
• 攻擊者無法在響應的下載內容中注入惡意內容。

受影響的 Spring 產品和版本

Spring Framework

• 6.2.0 - 6.2.7
• 6.1.0 - 6.1.20
• 6.0.5 - 6.0.28
• 不受支援的舊版本不受影響

緩解措施

受影響版本的使用者應升級到相應的修復版本。

無需進一步的緩解措施。

致謝

此問題由Dynatrace安全團隊的Jakob Linskeseder負責任地報告。

參考資料

• https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:L/A:N&version=3.1
• https://springframework.tw/security/cve-2020-5398

歷史

• 2025-06-12: 初步漏洞報告發布。