Spring Web UriComponentsBuilder URL解析不当漏洞 (CVE-2024-22243)

漏洞类型 SSRF 发现时间 2024-02-21 漏洞等级 高危
MPS编号 MPS-uwzo-gx91 CVE编号 CVE-2024-22243 漏洞影响广度 广

漏洞危害

OSCS 描述
Spring Framework 是一个开源的Java应用程序框架,UriComponentsBuilder是Spring Web中用于构建和操作URI的工具类。
受影响版本中,由于 UriComponentsBuilder 处理URL时未正确过滤用户信息中的方括号 `[` ,攻击者可构造包含方括号的恶意URL绕过主机名验证。如果应用程序依赖UriComponentsBuilder.fromUriString()等方法对URL进行解析和校验,则可能导致验证绕过,出现开放重定向或SSRF漏洞。
参考链接:https://www.oscs1024.com/hd/MPS-uwzo-gx91

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.springframework:spring-web [6.0.0, 6.0.17) 升级 将 org.springframework:spring-web 升级至 6.0.17 及以上版本
org.springframework:spring-web [6.1.0, 6.1.4) 升级 将 org.springframework:spring-web 升级至 6.1.4 及以上版本
org.springframework:spring-web (-∞, 5.3.32) 升级 将 org.springframework:spring-web 升级至 5.3.32 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-uwzo-gx91

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-uwzo-gx91

https://spring.io/security/cve-2024-22243

https://github.com/spring-projects/spring-framework/commit/7ec5c994c147f0e168149498b1c9d4a249d69e87

https://nvd.nist.gov/vuln/detail/CVE-2024-22243

(0)
上一篇 2024年2月22日 下午2:00
下一篇 2024年2月23日 下午12:00

相关推荐

  • Adobe Acrobat Reader 代码执行漏洞 (CVE-2023-26369)

    漏洞类型 输入验证不恰当 发现时间 2023-09-13 漏洞等级 高危 MPS编号 MPS-2023-5421 CVE编号 CVE-2023-26369 漏洞影响广度 广 漏洞危害 OSCS 描述 Adobe Acrobat Reader 是用于打开和使用在 Adobe Acrobat 中创建的 Adobe PDF 的工具。 在Adobe Acrobat …

    2023年9月14日
    0
  • Kibana <7.17.15,<8.11.1 日志文件泄漏敏感信息 (CVE-2023-46671)

    漏洞类型 日志敏感信息泄露 发现时间 2023-11-15 漏洞等级 严重 MPS编号 MPS-q2z6-3vtp CVE编号 CVE-2023-46671 漏洞影响广度 一般 漏洞危害 OSCS 描述 Kibana 是一个用于 Elasticsearch 的开源数据可视化工具,旨在帮助用户分析和展示其存储在 Elasticsearch 中的数据。 Kiba…

    2023年11月16日
    0
  • libwebp堆缓冲区溢出漏洞 (CVE-2023-5129)

    漏洞类型 输入验证不恰当 发现时间 2023-09-26 漏洞等级 严重 MPS编号 MPS-wr17-50l6 CVE编号 CVE-2023-5129 漏洞影响广度 广 漏洞危害 OSCS 描述 WebP是由Google开发的一种栅格图形文件格式,旨在取代JPEG、PNG和GIF文件格式,libwebp是其解析处理的标准实现,被Chromium、Firef…

    2023年9月27日
    0
  • 用友 U8cloud MeasureQueryByToolAction SQL注入漏洞 (MPS-qw90-6ekn)

    漏洞类型 SQL注入 发现时间 2024-03-19 漏洞等级 严重 MPS编号 MPS-qw90-6ekn CVE编号 – 漏洞影响广度 一般 漏洞危害 OSCS 描述 用友 U8 Cloud 是用友软件公司开发的云端企业管理软件。 由于MeasureQueryByToolAction接口未使用SQLParamValidator.validat…

    2024年3月25日
    0
  • curl&libcurl高危漏洞CVE-2023-38545即将公开,如何应对?

    背景 Curl是从1998年开始开发的开源网络请求命令行工具,其中包含的libcurl也被作为组件广泛用于应用的HTTP请求。 10月4日,curl项目的作者bagder(Daniel Stenberg)在GitHub中预告将于10月11日发布 8.4.0 版本,并公开两个漏洞:CVE-2023-38545和CVE-2023-38546。其中 CVE-202…

    2023年10月10日
    0