棱镜七彩安全预警
近日网上有关于开源项目Spring Security 绕过授权漏洞，棱镜七彩威胁情报团队第一时间探测到，经分析研判，向全社会发起开源漏洞预警公告，提醒相关安全团队及时响应。
项目介绍
Spring Security 是一套为基于Spring的应用程序提供说明性安全保护的安全框架。
项目主页
https://spring.io/projects/spring-security
代码托管地址
https://github.com/spring-projects/spring-security
CVE编号
CVE-2022-31692
漏洞情况
Spring Security 是一套为基于Spring的应用程序提供说明性安全保护的安全框架。Spring Security 受影响版本可能容易受到通过 FORWARD 或 INCLUDE 调度绕过授权规则的影响。当满足以下所有条件时，应用程序很容易受到攻击：
- 应用程序期望 Spring Security 应用安全性来 forward 和 include 调度程序类型。
- 应用程序手动或通过 authorizeHttpRequests 方法使用 AuthorizationFilter。
- 应用程序配置 FilterChainProxy 以应用 forward 和/或 include请求。
- 应用程序将请求 forward / include 到更高权限的安全端点。
- 应用程序通过authorizeHttpRequests().shouldFilterAllDispatcherTypes(true)
配置 Spring Security 以应用于每个调度程序类型
如果符合以下任意一项，则应用程序不会受到攻击：
- 应用程序不使用 authorizeHttpRequests 方法 或 AuthorizationFilter。
- 该应用程序不使用 forward / include 调度器处理请求。
- 应用程序不需要配置 Spring Security 来应用 forward 或 include 调度器类型。
受影响的版本
org.springframework.security:spring-security-web@[5.7.0, 5.7.5)
org.springframework.security:spring-security-web@[5.6.0, 5.6.9)
修复方案
将组件org.springframework.security:spring-security-web 升级至5.7.5 及以上版本
将组件org.springframework.security:spring-security-web 升级至5.6.9 及以上版本
链接地址
https://github.com/spring-projects/spring-security/commit/1f481aafff14f324ffe2b43a973d3d5f54ae92d4
关于我们
棱镜七彩作为国内专业提供开源成分管理及威胁情报服务的创新型科技企业，拥有自主知识产权的开源安全与合规治理平台FossEye，平台依托强大的安全风险检测与响应能力，主要用于帮助对软件中的开源成分进行克隆检测和溯源分析、安全漏洞分析、开源组件管理、自动化策略执行、威胁情报预警及开源软件许可证合规，帮助企业更好的管理开源代码资产、跟踪开源资产安全性和合规性，提高研发效率，降低安全成本，为客户提供领先全面的开源安全与合规治理解决方案。更多讯息欢迎访问棱镜七彩微信公众号【LJQC7-cai】或加入七彩【开源社区生态分享营】进行开源分享与交流。
