Spring Kafka 反序列化漏洞 (CVE-2023-34040)

Spring Kafka 反序列化漏洞 (CVE-2023-34040)
漏洞类型 反序列化 发现时间 2023-08-24 漏洞等级 中危
MPS编号 MPS-fed8-ocuv CVE编号 CVE-2023-34040 漏洞影响广度

漏洞危害

OSCS 描述
Spring Kafka 是 Spring Framework 生态系统中的一个模块,用于简化在 Spring 应用程序中集成 Apache Kafka 的过程,记录(record)指 Kafka 消息中的一条记录。
受影响版本中默认未对记录配置 ErrorHandlingDeserializer,当用户将容器属性 checkDeserExWhenKeyNull 或 checkDeserExWhenValueNull 设置为 true(默认未false),并且允许不受信任的源发布到 Kafka 主题中时,攻击者可将恶意 payload 注入到 Kafka 主题中,当反序列化记录头时远程执行任意代码。
参考链接:https://www.oscs1024.com/hd/MPS-fed8-ocuv
Spring Security Advisories 描述
在 Apache Kafka 3.0.9 及更早版本以及 2.9.10 及更早版本的 Spring 中,存在可能的反序列化攻击向量,但前提是应用了异常配置。攻击者必须在反序列化异常记录标头之一中构造恶意序列化对象。
参考链接:https://spring.io/security/cve-2023-34040

 

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.springframework.kafka:spring-kafka [2.8.1, 2.9.11) 更新 升级org.springframework.kafka:spring-kafka到 2.9.11、3.0.10 或更高版本
缓解措施 为记录的键或值配置 ErrorHandlingDeserializer;
不使用 ErrorHandlingDeserializers 时,勿设置容器属性 checkDeserExWhenKeyNull 或 checkDeserExWhenValueNull 设置为 true
补丁 官方已发布补丁:https://github.com/spring-projects/spring-kafka/commit/ddd1a96561e70599d8332b0907ec00df930d324b
org.springframework.kafka:spring-kafka [3.0.0, 3.0.10) 更新 升级org.springframework.kafka:spring-kafka到 2.9.11、3.0.10 或更高版本
参考链接:https://www.oscs1024.com/hd/MPS-fed8-ocuv

Spring Security Advisories 平台影响范围和处置方案

影响范围 处置方式 处置方法
Spring for Apache Kafka 2.8.1 to 2.9.10 更新 升级 Spring for Apache Kafka 到2.9.11或更高版本
缓解措施 2.8.x and 2.9.x users should upgrade to 2.9.11
Spring for Apache Kafka 3.0.0 to 3.0.9 更新 升级 Spring for Apache Kafka 到3.0.10
缓解措施 3.0.x users should upgrade to 3.0.10
参考链接:https://spring.io/security/cve-2023-34040

 

 

 

 

 

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-fed8-ocuv

https://nvd.nist.gov/vuln/detail/CVE-2023-34040

https://github.com/spring-projects/spring-kafka/commit/ddd1a96561e70599d8332b0907ec00df930d324b

https://spring.io/security/cve-2023-34040

https://github.com/spring-projects/spring-kafka/pull/2756

(0)
上一篇 2023年8月23日 下午4:00
下一篇 2023年8月25日 下午12:00

相关推荐

  • Apache CouchDB 和 IBM Cloudant 权限升级漏洞 (CVE-2023-45725)

    漏洞类型 权限管理不当 发现时间 2023-12-13 漏洞等级 中危 MPS编号 MPS-6278-4bdg CVE编号 CVE-2023-45725 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache CouchDB 是一个开源的NoSQL数据库,Design Document用于存储数据库的设计和视图定义。IBM Cloudant 是基于 Ap…

    2023年12月14日
    0
  • Apache Submarine 存在反序列化漏洞 (CVE-2023-46302)

    漏洞类型 反序列化 发现时间 2023-11-19 漏洞等级 严重 MPS编号 MPS-qp4a-wcgl CVE编号 CVE-2023-46302 漏洞影响广度 漏洞危害 OSCS 描述 Apache Submarine是一个端到端的机器学习平台,允许数据科学家创建完整的机器学习工作流程,涵盖数据探索、数据管道创建、模型训练、服务以及监控的每个阶段。 Ap…

    2023年11月21日
    0
  • OpenZFS 安全机制失效漏洞 (CVE-2023-49298)

    漏洞类型 输入验证不恰当 发现时间 2023-11-25 漏洞等级 中危 MPS编号 MPS-70jg-txe3 CVE编号 CVE-2023-49298 漏洞影响广度 一般 漏洞危害 OSCS 描述 OpenZFS 是一种高级文件系统和卷管理器 OpenZFS 受影响版本中存在安全机制失效漏洞,涉及使用依赖高效复制文件数据的应用程序时,可能会用零值字节替换…

    2023年11月27日
    0
  • 泛微E-Office10 < 10.0_20240222 远程代码执行漏洞 (MPS-4tme-or5n)

    漏洞类型 反序列化 发现时间 2024-03-27 漏洞等级 严重 MPS编号 MPS-4tme-or5n CVE编号 – 漏洞影响广度 小 漏洞危害 OSCS 描述 泛微e-office OA系统是通过php开发面向中小型组织的专业协同OA软件。 在受影响版本中,由于处理上传的phar文件时存在缺陷,攻击者可通过向/eoffice10/serv…

    2024年3月28日
    0
  • Helm < 3.14.1 路径遍历漏洞 (CVE-2024-25620)

    漏洞类型 路径遍历 发现时间 2024-02-15 漏洞等级 中危 MPS编号 MPS-2si9-mtja CVE编号 CVE-2024-25620 漏洞影响广度 广 漏洞危害 OSCS 描述 Helm 是一个用于管理 Charts 的工具。Charts 是预配置的 Kubernetes 资源的包。 Helm 客户端或 SDK 在保存 Chart 目录时未验…

    2024年2月16日
    0