全部产品
弹性计算 会员服务 网络 安全 移动云 数加·大数据分析及展现 数加·大数据应用 管理与监控 云通信 阿里云办公 培训与认证 智能硬件
存储与CDN 数据库 域名与网站(万网) 应用服务 数加·人工智能 数加·大数据基础服务 互联网中间件 视频服务 开发者工具 解决方案 物联网 更多

【漏洞公告】CVE-2017-8046:Spring Data REST远程代码执行漏洞

更新时间:2018-03-08 16:58:17

2017年9月21日,流行的Java框架spring被发现一个高危漏洞,漏洞CVE编号为CVE-2017-8046。黑客可以利用该漏洞远程执行命令,使用了spring框架的业务存在高安全风险。

漏洞详情见下文。


漏洞编号

CVE-2017-8046

漏洞名称

Java Spring Data REST远程代码执行漏洞

官方评级

高危

漏洞描述

恶意攻击者使用精心构造的JSON数据包,向spring-data-rest服务器提交恶意PATCH请求,可以执行任意的Java代码。

漏洞利用条件和方式

网站使用Spring Data REST提供REST Web服务,且版本在受影响范围内。

漏洞影响范围

  • Spring Data REST 2.5.12, 2.6.7, 3.0 RC3之前的版本
  • Spring Boot 2.0.0M4之前的版本
  • Spring Data release trains Kay-RC3之前的版本

漏洞检测

开发人员检查使用的Spring框架是否在受影响版本范围内。

漏洞修复建议(或缓解措施)

升级到以下最新版本:

  • Spring Data REST 2.5.12, 2.6.7, 3.0 RC3
  • Spring Boot 2.0.0.M4
  • Spring Data release train Kay-RC3

情报来源

[1]. https://pivotal.io/security/cve-2017-8046
[2]. https://github.com/spring-projects/spring-data-rest/commit/8f269e28fe8038a6c60f31a1c36cfda04795ab45
[3]. http://projects.spring.io/spring-data-rest/

本文导读目录