spring - Spring框架安全漏洞CVE是否适用于Grails

Question

我的 Grails 部署中包含一些适用于 Spring Framework 版本的漏洞。这些也是 Grails(包含 Spring 3.1.4 的 v2.2.5)中的漏洞吗？此处列出的漏洞

http://www.cvedetails.com/vulnerability-list/vendor_id-9664/product_id-17274/Springsource-Spring-Framework.html

适用于例如Spring v 3.0.0 到 3.2.8，其中包括 3.1.4，但 Grails 2.2.5 是 2.2.x 的最新版本。

我如何知道这些 CVE 是否适用于我的 Grails 版本？

Answer 1

Spring、Grails 和 Groovy 团队自 2008 年 SpringSource(遗憾的是不再是一个实体)收购了 G2One 以来一直属于同一家公司，随后 VMware 继续收购 SpringSource，并在其合并后将 SpringSource 解散到 Pivotal。由 EMC 和 VMware 的团队组成。他们密切合作，当然，当出现漏洞时，Spring 团队会通知 Grails 团队。

您链接到的页面中的问题要么不是 Grails 中的问题，要么已经足够旧，以至于任何最新版本的 Grails 都使用已修复该问题的 Spring 版本。具体来说，CVE-2014-1904 涉及 web/servlet/tags/form/FormTag.java，但是虽然 Grails 中支持 JSP 标签，但它们很少使用，因为 GSP 标签和包含要方便得多。 CVE-2014-0054、CVE-2013-7315 和 CVE-2013-4152 与 StAX/OXM/JAXB/XXE 相关 - 一些基于 XML 的首字母缩略词，在 Grails 中没有直接支持，据我所知，没有(或很少(如果有的话)插件支持。 CVE-2013-6429 讨论了 SourceHttpMessageConverter，它似乎没有直接使用，但可能被 RestTemplate 使用，因此也可能被 Rest-client-builder 插件使用。

但如果这些是问题，Grails 团队将收到通知并解决这些问题。这种情况过去发生过几次，例如http://support.springsource.com/security/cve-2012-1833 。 Grails 特定的问题也可以使用相同的机制进行报告，例如http://www.pivotal.io/security/cve-2014-0053