领先一步
VMware 提供培训和认证，助您加速进步。
了解更多CVE-2023-34053: Spring Framework 服务器 Web 观测 DoS 漏洞
描述
在 Spring Framework 6.0.0 到 6.0.13 版本中，用户可以通过提供特制 HTTP 请求导致拒绝服务 (DoS) 情况。
具体来说，当以下所有情况都为真时，应用程序是易受攻击的
- 应用程序使用Spring MVC 或 Spring WebFlux
io.micrometer:micrometer-core在类路径中- 应用程序中配置了 ObservationRegistry 以记录观测数据
通常，Spring Boot 应用程序需要 org.springframework.boot:spring-boot-actuator 依赖项才能满足所有条件。
受影响的 Spring 产品和版本
Spring Framework
- 6.0.0 至 6.0.13
更早的版本不受影响。
缓解措施
受影响版本的用户应采取以下缓解措施。
- Spring Framework 6.0.x 用户应升级到 6.0.14。
无需其他步骤。
作为临时解决方案，Spring Boot 3.0.x 和 3.1.x 用户可以使用以下属性禁用 Web 框架观测：management.metrics.enable.http.server.requests=false
致谢
此问题由 James Yuzawa 发现并负责任地报告。
参考资料
报告漏洞
要报告 Spring 组合项目中存在的安全漏洞，请参阅安全策略