描述

当授权应用程序使用 OAuth 2 API 提供商时，Spring Social 容易受到跨站请求伪造 (CSRF) 攻击。攻击涉及恶意用户使用伪造的 OAuth 2 API 提供商账户开始 OAuth 2 授权流程，然后通过诱骗受害者在浏览器中访问回调请求来完成。因此，攻击者将可以通过伪造的提供商账户访问受害者在易受攻击的网站上的账户。

受影响的 Spring 产品和版本

• Spring Social Core 1.0.0 至 1.0.3
• Spring Social Core 1.1.0 至 1.1.2

缓解措施

受影响的 Spring Social 版本用户应如下升级：

• 对于 Spring Social 1.0.x，请升级到 1.1.3+
• 对于 Spring Social 1.1.x，请升级到 1.1.3+

在上述版本中，Spring Social 要求回调请求中存在 `state` 参数。如果未找到该参数，将抛出 IllegalStateException 并终止授权流程。

致谢

该问题最初由 Include Security 的 Kris Bosch 发现。随后 sourceclear (https://srcclr.com) 的 Paul Ambrosini 确定了根本原因、易受攻击的库和易受攻击的代码。

参考资料

• https://blog.srcclr.com/spring-social-core-vulnerability-disclosure/

历史

2015-11-12：发布了初始漏洞报告。