教育数字化知识图谱

综述

Pivotal Spring 官方发布安全公告， Spring 框架中存在三个漏洞其中编号为 CVE-2018-1270 的漏洞可导致远程代码执行。在引入且使用 spring-messaging 组件时攻击者可通过 WebSocket 向服务器端发送携带有恶意代码的 STOMP 报文，直接获取服务器控制权限。

Pivotal Spring 官方 4 月 9 日对之前发布的公告进行了部分修订，受 CVE-2018-1270 漏洞影响的版本修订为 Spring Framework 4.3.15 及 5.0.4 。

详情请参考如下链接：

https://pivotal.io/security/cve-2018-1275

漏洞影响

目前已知受影响的 Pivotal 产品及版本为：

Spring Framework 5.0 to 5.0.4

Spring Framework 4.3 to 4.3.15

早期官方已不支持的版本

不受影响的版本为：

Spring Framework 5.0.5 to 5.0.6

Spring Framework 4.3.16 to 4.3.17

影响排查

漏洞产生于 spring-messaging 组件，对于使用 Spring 框架的应用系统，首先排查是否引入了 spring-messaging 组件并实现 STOMP 消息传送功能，查看 Spring Framework 的版本是否在受影响范围内。

在应用系统中直接查看 Maven/Gradle 中引入的 Spring Framework 版本，如：

org.springframeworkspring-context5.0.4.RELEASE

解决建议

Pivotal Spring 官方已经在新版本中对爆出的漏洞进行了修复，受漏洞影响的用户请尽快升级框架版本。

Spring 官方地址：

https://projects.spring.io/spring-framework/

开发人员可通过配置 Maven 或者 Gradle 的方式，升级框架并编译发布。

Maven 配置

org.springframeworkspring-context5.0.5.RELEASE

Gradle 配置

dependencies { compile 'org.springframework:spring-context:5.0.5.RELEASE' }

漏洞简析

spring-messaging 模块实现 STOMP （ Simple Text-Orientated Messaging Protocol ）协议，通过 WebSocket 进行 STOMP 报文的数据交互。攻击者可以通过建立 WebSocket 连接并发送一条消息造成远程代码执行。