Spring Cloud Contract 信息泄漏漏洞 (CVE-2024-22236)

漏洞类型 未授权敏感信息泄露 发现时间 2024-01-31 漏洞等级 低危
MPS编号 MPS-nlih-a72m CVE编号 CVE-2024-22236 漏洞影响广度 广

漏洞危害

OSCS 描述
Spring Cloud Contract 是提供一种声明式的方式来创建HTTP和消息驱动的微服务应用之间的契约。
由于 Spring Cloud Contract 受影响版本中,org.springframework.cloud:spring-cloud-contract-shade 中依赖了受漏洞影响的 com.google.guava:guava 依赖组件,有权访问计算机的攻击者可以访问由 Guava API com.google.common.io.Files.createTempDir() 创建的临时目录中的数据。
参考链接:https://www.oscs1024.com/hd/MPS-nlih-a72m

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.springframework.cloud:spring-cloud-contract-shade [4.0.0, 4.0.5) 升级 将组件 org.springframework.cloud:spring-cloud-contract-shade 升级至 4.0.5 及以上版本
org.springframework.cloud:spring-cloud-contract-shade [4.1.0, 4.1.1) 升级 将组件 org.springframework.cloud:spring-cloud-contract-shade 升级至 4.1.1 及以上版本
org.springframework.cloud:spring-cloud-contract-shade [3.1.0, 3.1.10) 升级 将组件 org.springframework.cloud:spring-cloud-contract-shade 升级至 3.1.10 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-nlih-a72m

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-nlih-a72m

https://spring.io/security/cve-2024-22236

https://nvd.nist.gov/vuln/detail/CVE-2020-8908

(0)
上一篇 2024年1月30日 下午12:00
下一篇 2024年1月31日 下午10:00

相关推荐

  • OpenSSL 拒绝服务漏洞 (CVE-2023-6237)

    漏洞类型 对因果或异常条件的不恰当检查 发现时间 2024-01-16 漏洞等级 低危 MPS编号 MPS-x84n-ctrf CVE编号 CVE-2023-6237 漏洞影响广度 一般 漏洞危害 OSCS 描述 OpenSSL 是广泛使用的开源加密库。 在 OpenSSL 3.0.0 到 3.0.12, 3.1.0 到 3.1.4 和 3.2.0 中 ,使…

    2024年1月16日
    0
  • Amazon Redshift JDBC Driver<2.1.0.28 SQL注入漏洞 (CVE-2024-32888)

    漏洞类型 SQL注入 发现时间 2024-05-15 漏洞等级 严重 MPS编号 MPS-yg3n-dx5h CVE编号 CVE-2024-32888 漏洞影响广度 漏洞危害 OSCS 描述 Amazon Redshift 的 JDBC 驱动程序是一个 Type 4 JDBC 驱动程序,通过 Java 平台企业版提供的标准 JDBC 应用程序接口(API)实…

    漏洞 2024年5月16日
    0
  • jeecg-boot/积木报表基于 SSTI 的任意代码执行漏洞 [有POC]

    漏洞类型 代码注入 发现时间 2023/8/13 漏洞等级 严重 MPS编号 MPS-4hzd-mb73 CVE编号 – 漏洞影响广度 广 漏洞危害 OSCS 描述 JeecgBoot 是一款开源的的低代码开发平台,积木报表是其中的低代码报表组件。JeecgBoot 受影响版本中由于积木报表 /jeecg-boot/jmreport/queryF…

    2023年9月1日
    0
  • ZooKeeper SASL 身份验证绕过漏洞 (CVE-2023-44981)

    漏洞类型 通过用户控制密钥绕过授权机制 发现时间 2023-10-11 漏洞等级 高危 MPS编号 MPS-bznr-672x CVE编号 CVE-2023-44981 漏洞影响广度 一般 漏洞危害 OSCS 描述 ZooKeeper 是开源的分布式应用程序协调服务,数据树是指Apache ZooKeeper中存储数据的层次结构,SASL是一种用于进行身份验…

    2023年10月12日
    0
  • Netty BoringSSLAEADContext Nonce重用漏洞 (CVE-2024-36121)

    漏洞类型 在加密中重用Nonce与密钥对 发现时间 2024-06-05 漏洞等级 中危 MPS编号 MPS-jy5x-0p2d CVE编号 CVE-2024-36121 漏洞影响广度 漏洞危害 OSCS 描述 Netty 是一个异步事件驱动的网络应用程序框架,用于快速开发可维护的高性能协议服务器和客户端。Netty-Incubator-Codec-OHTT…

    漏洞 2024年6月7日
    0