近日，Spring Data Commons項(xiàng)目爆出 遠(yuǎn)程代碼執(zhí)行漏洞 ，CVE編號(hào)CVE-2018-1273，未經(jīng)身份驗(yàn)證的遠(yuǎn)程惡意用戶（或攻擊者）可以提供特制的請(qǐng)求參數(shù)對(duì)Spring Data REST發(fā)起攻擊，包括使用基于HTTP資源的，或其他請(qǐng)求負(fù)載結(jié)合的Spring Data’s projection，最終可以導(dǎo)致遠(yuǎn)程代碼執(zhí)行攻擊。Spring Data Commons、 Spring Data REST 、 Spring Boot 不少版本受影響。Pivotal發(fā)布預(yù)警通告，相關(guān)信息如下
spring框架是什么
百度百科 ，Spring框架是由于軟件開(kāi)發(fā)的復(fù)雜性而創(chuàng)建的。Spring使用的是基本的JavaBean來(lái)完成以前只可能由EJB完成的事情。然而，Spring的用途不僅僅限于服務(wù)器端的開(kāi)發(fā)。從簡(jiǎn)單性、可測(cè)試性和松耦合性角度而言，絕大部分Java應(yīng)用都可以從Spring中受益。
- 目的：解決企業(yè)應(yīng)用開(kāi)發(fā)的復(fù)雜性
- 功能：使用基本的JavaBean代替EJB，并提供了更多的企業(yè)應(yīng)用功能
- 范圍：任何Java應(yīng)用
Spring是一個(gè)輕量級(jí)控制反轉(zhuǎn)(IoC)和面向切面(AOP)的容器框架。
CSDN ，Spring是一個(gè)開(kāi)源的輕量級(jí)Java SE（Java 標(biāo)準(zhǔn)版本）/Java EE（Java 企業(yè)版本）開(kāi)發(fā)應(yīng)用框架，其目的是用于簡(jiǎn)化企業(yè)級(jí)應(yīng)用程序開(kāi)發(fā)。應(yīng)用程序是由一組相互協(xié)作的對(duì)象組成。而在傳統(tǒng)應(yīng)用程序開(kāi)發(fā)中，一個(gè)完整的應(yīng)用是由一組相互協(xié)作的對(duì)象組成。所以開(kāi)發(fā)一個(gè)應(yīng)用除了要開(kāi)發(fā)業(yè)務(wù)邏輯之外，最多的是關(guān)注如何使這些對(duì)象協(xié)作來(lái)完成所需功能，而且要低耦合、高內(nèi)聚。業(yè)務(wù)邏輯開(kāi)發(fā)是不可避免的，那如果有個(gè)框架出來(lái)幫我們來(lái)創(chuàng)建對(duì)象及管理這些對(duì)象之間的依賴關(guān)系。
Spring Data Commons是什么
Spring Data?項(xiàng)目的目的是為了簡(jiǎn)化構(gòu)建基于 Spring 框架應(yīng)用的數(shù)據(jù)訪問(wèn)計(jì)數(shù)，包括非關(guān)系數(shù)據(jù)庫(kù)、Map-Reduce 框架、云數(shù)據(jù)服務(wù)等等；另外也包含對(duì)關(guān)系數(shù)據(jù)庫(kù)的訪問(wèn)支持。
Spring Data是一個(gè)用于簡(jiǎn)化數(shù)據(jù)庫(kù)訪問(wèn)，并支持云服務(wù)的開(kāi)源框架。其主要目標(biāo)是使得數(shù)據(jù)庫(kù)的訪問(wèn)變得方便快捷，并支持map-reduce框架和云計(jì)算數(shù)據(jù)服務(wù)。此外，它還支持基于關(guān)系型數(shù)據(jù)庫(kù)的數(shù)據(jù)服務(wù)，如Oracle RAC等。對(duì)于擁有海量數(shù)據(jù)的項(xiàng)目，可以用Spring Data來(lái)簡(jiǎn)化項(xiàng)目的開(kāi)發(fā)，就如Spring Framework對(duì)JDBC、ORM的支持一樣，Spring Data會(huì)讓數(shù)據(jù)的訪問(wèn)變得更加方便。Spring Data 包含多個(gè)子項(xiàng)目，Commons 子項(xiàng)目的作用是
- Commons – 提供共享的基礎(chǔ)框架，適合各個(gè)子項(xiàng)目使用，支持跨數(shù)據(jù)庫(kù)持久化
- 更多介紹：https://blog.csdn.net/chuck_kui/article/details/54879630
CVE-2018-1273漏洞概要
針對(duì)CVE-2018-1273漏洞情況，安全加整理了相關(guān)內(nèi)容如下，這些內(nèi)容可能來(lái)自于CVE-2018-1273涉及廠商、CVE-2018-1273漏洞信息發(fā)布組織、CVE、SecurityFocus及其它第三方組織。
CVE-2018-1273漏洞標(biāo)識(shí)
- CVE ID：CVE-2018-1273
- BUGTRAQ ID：【BUGTRAQ ID】
- 漏洞涉及廠商漏洞庫(kù)ID：【漏洞涉及廠商漏洞庫(kù)ID】
- CNNVD ID：【CNNVD漏洞編號(hào)】
- 綠盟科技漏洞庫(kù)ID：【綠盟科技漏洞庫(kù)ID】
CVE-2018-1273漏洞相關(guān)鏈接
【增補(bǔ)中】
- 百度鏈接：https://www.baidu.com/s?wd=CVE-2018-1273
- 綠盟科技漏洞庫(kù)鏈接：http://www.nsfocus.net/vulndb/{綠盟科技漏洞庫(kù)ID}
- Pivotal官方鏈接：https://pivotal.io/security/cve-2018-1273
- 相關(guān)Github鏈接：https://github.com/spring-projects/spring-data-commons/commit/b1a20ae1e82a63f99b3afc6f2aaedb3bf4dc432a
- 相關(guān)Github鏈接：https://github.com/spring-projects/spring-data-commons/commit/ae1dd2741ce06d44a0966ecbd6f47beabde2b653
CVE-2018-1273漏洞描述
【增補(bǔ)中】
CVE評(píng)價(jià)該漏洞
CVE還在保留狀態(tài)
**?RESERVED?** This candidate has been reserved by an organization or individual that will use it when announcing a new security problem. When the candidate has been publicized, the details for this candidate will be provided.
SecurityFocus評(píng)價(jià)該漏洞
Pivotal評(píng)價(jià)該漏洞
Spring Data Commons 1.13 1.13.10之前的版本，2.0版本及到2.0.5，以及更老的不支持版本，包含一個(gè)綁定器漏洞，這是由于improper neutralization of special elements引起的。未經(jīng)身份驗(yàn)證的遠(yuǎn)程惡意用戶（或攻擊者）可以提供特制的請(qǐng)求參數(shù)對(duì)Spring Data REST發(fā)起攻擊，包括使用基于HTTP資源的，或其他請(qǐng)求負(fù)載結(jié)合的Spring Data’s projection，最終可以導(dǎo)致遠(yuǎn)程代碼執(zhí)行攻擊。
CVE-2018-1273漏洞影響范圍
CVE-2018-1273漏洞涉及廠商
Pivotal
CVE-2018-1273漏洞涉及產(chǎn)品
Spring Data Commons
CVE-2018-1273漏洞影響版本
Severity is critical unless otherwise noted.
- Spring Data Commons 1.13 to 1.13.10 (Ingalls SR10)
- Spring Data REST 2.6 to 2.6.10 (Ingalls SR10)
- Spring Data Commons 2.0 to 2.0.5 (Kay SR5)
- Spring Data REST 3.0 to 3.0.5 (Kay SR5)
- Older unsupported versions are also affected
CVE-2018-1273漏洞解決方案
【增補(bǔ)中】
Pivotal聲明
Users of affected versions should apply the following mitigation:
- 2.0.x users should upgrade to 2.0.6
- 1.13.x users should upgrade to 1.13.11
- Older versions should upgrade to a supported branch
Releases that have fixed this issue include:
- Spring Data REST 2.6.11 (Ingalls SR11)
- Spring Data REST 3.0.6 (Kay SR6)
- Spring Boot 1.5.11
- Spring Boot 2.0.1
There are no other mitigation steps necessary.
Note that the use of authentication and authorization for endpoints, both of which are provided by Spring Security, limits exposure to this vulnerability to authorized users.
{CVE-2018-1273漏洞信息發(fā)布組織}聲明
【增補(bǔ)中】
CVE-2018-1273漏洞安全加聲明
本頁(yè)信息用以描述CVE-2018-1273漏洞的信息，這些信息便于您對(duì)CVE-2018-1273漏洞進(jìn)行快速閱讀并了解相關(guān)信息。如下信息如有空缺，則CVE-2018-1273漏洞相關(guān)內(nèi)容正在增補(bǔ)中，如果您知悉相關(guān)內(nèi)容或者如下內(nèi)容有異議，可以聯(lián)系站長(zhǎng)：安全加QQ：468215215；Weixin：gnaw0725
CVE-2018-1273漏洞相關(guān)內(nèi)容
CVE-2018-1273漏洞相關(guān)漏洞
漏洞列表
CVE-2018-1273漏洞相關(guān)文章
- 2018年3月， Spring框架遠(yuǎn)程代碼執(zhí)行漏洞CVE-2018-1270 客戶端服務(wù)器STOMP通訊協(xié)議出漏洞 ，PV 756
- 2017年9月， Spring Java開(kāi)發(fā)框架子項(xiàng)目Spring Data Rest遠(yuǎn)程代碼執(zhí)行漏洞CVE-2017-8046 ，PV 8033
- 2017年9月， Spring Java開(kāi)發(fā)子項(xiàng)目AMQP遠(yuǎn)程代碼執(zhí)行漏洞CVE-2017-8045 ，PV 7686
- 2017年6月， Spring WebFlow 遠(yuǎn)程代碼執(zhí)行漏洞CVE-2017-4971 綠盟科技發(fā)布安全威脅通告 ，PV 5076
- 2016年7月， 綠盟科技已經(jīng)啟動(dòng)Spring Boot框架漏洞的應(yīng)急響應(yīng) ，PV 3795