描述

ActiveDirectoryLdapAuthenticator 未检查密码长度。如果目录允许匿名绑定，则可能错误地认证了提供空密码的用户。

受影响的 Spring 产品和版本

• Spring Security 3.2.0 至 3.2.1
• Spring Security 3.1.0 至 3.1.5

缓解措施

受影响版本的用户应采取以下缓解措施

• 3.2.x 用户应升级至 3.2.2 或更高版本
• 3.1.x 用户应升级至 3.1.6 或更高版本

致谢

此问题由 Spring 开发团队识别。

参考资料

• https://jira.springsource.org/browse/SEC-2500
• https://github.com/spring-projects/spring-security/commit/88559882e967085c47a7e1dcbc4dc32c2c796868
• https://github.com/spring-projects/spring-security/commit/7dbb8e777ece8675f3333a1ef1cb4d6b9be80395
• https://github.com/spring-projects/spring-security/commit/a7005bd74241ac8e2e7b38ae31bc4b0f641ef973

历史

2014-Mar-11: 发布了初始漏洞报告

• 2014-Mar-11: 修正了受影响版本，添加了 3.1.0 至 3.1.5
• 2014-Jun-19: 为 3.1.x 用户添加了缓解措施