spring - Spring - SpEL 容易受到攻击吗？

Question

我发现一篇文章Open source library with vulnerabilities .

这篇文章指出“Spring 表达式语言 (SpEL) 可以通过 HTTP 参数提交来利用，从而允许攻击者获取敏感的系统数据、应用程序和用户 cookie。”

有人可以对此进行更多说明吗？

Answer 1

Aspect Security 的发现是在 2013 年 1 月发现的，但 SpringSource 发布的修复早在 2011 年首次发现时就已经可用。 Aspect Security 的 Dan Amodio 向 SpringSource 通报了远程代码执行的可能性。

SpringSource 根据 Aspect Security 的发现于 2012 年 6 月 12 日更新了我们的安全报告 - 但原始通报中列出的修复/缓解措施仍然适用:http://support.springsource.com/security/cve-2011-2730

此漏洞仅影响 Spring Framework 版本:

• 3.0.0 到 3.0.5 —— 升级到 3.0.6 可以解决该问题。• 2.5.0 到2.5.6.SEC02(社区版本)——升级到2.5.6.SEC03 可以解决该问题。• 2.5.0 到 2.5.7.SR01(订阅客户)——升级到 2.5.7.SR02 即可解决该问题。

此问题已在以后的所有版本中得到修复 - SpringFramework 的当前版本是 3.2，于 2012 年 12 月发布。

谢谢

-Pieter(SpringSource)