【漏洞通告】Spring Security 身份认证绕过漏洞

0x01 漏洞信息

漏洞编号：CVE-2023-34034

漏洞等级：高

披漏时间：2023年7月19日

Spring Security 存在使用未前缀的双通配符模式实现 WebFlux 安全绕过。在WebFlux的Spring Security配置中使用"**"作为模式，会导致Spring Security 和Spring WebFlux之间模式不匹配，并可能造成安全绕过。

脆弱组件覆盖面	利用门槛	POC工具	EXP工具
广	低	未公开	未公开

6.1.0 到 6.1.1、6.0.0 到 6.0.4、 5.8.0 到 5.8.4、 5.7.0 到 5.7.9、 5.6.0 到 5.6.11

用户尽快排查所有应用系统Spring Security应用版本是否在6.1.0 到 6.1.1、6.0.0 到 6.0.4、 5.8.0 到 5.8.4、 5.7.0 到 5.7.9、 5.6.0 到 5.6.11之间。若存在应用使用，极大可能会受到影响。

官方已发布修复方案，受影响的用户建议更新至安全版本：6.1.2及以上，6.0.5及以上，5.8.5及以上，5.7.10及以上，5.6.12及以上链接如下：https://spring.io/projects/spring-security

推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……

宙飒天下网