描述

在 Spring Cloud Function 3.2.5 版本和更早的不受支持版本中，由于框架的 Function Catalog 组件中的缓存问题，直接与框架提供的查找功能交互的用户可能会导致拒绝服务 (DoS) 情况。在撰写此 CVE 时，这种交互只能通过 spring-cloud-function-web 模块进行。

受影响的 Spring 产品和版本

• Spring Cloud Function
  • 3.2.5
  • 较旧的、不受支持的版本也受到影响

缓解措施

受影响版本的用户应升级到 3.2.6。无需其他步骤。已修复此问题的版本包括：

• Spring Cloud Function
  • 3.2.6

致谢

此漏洞最初由 [email protected] 发现并负责任地报告。

参考资料

• https://www.first.org/cvss/calculator/3.0#CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H/E:F/RL:O/AR:H/MAV:N/MAC:L/MPR:N/MUI:N/MS:U/MC:N/MI:N/MA:H
• https://cwe.mitre.org/data/definitions/770.html
• https://cwe.mitre.org/data/definitions/497.html

历史

• 2022-06-15：首次发布漏洞报告。