领先一步
VMware 提供培训和认证，助您加速进步。
了解更多CVE-2025-22223：Spring Security 授权绕过，适用于参数化类型上的方法安全注解
描述
Spring Security 可能无法正确地定位参数化类型或方法上的方法安全注解。这可能导致授权绕过。
如果满足以下条件，您的应用程序可能会受到影响：
- 您正在使用
@EnableMethodSecurity，并且 - 您在参数化超类、接口或重写方法上有一个方法安全注解，但目标方法上没有注解
在这种情况下，目标方法可能能够在没有正确授权的情况下被调用。
如果您符合以下情况，则不受影响：
- 您未使用
@EnableMethodSecurity，或者 - 您在参数化类型或方法上没有方法安全注解，或者
- 所有方法安全注解都附加到目标方法
受影响的 Spring 产品和版本
Spring Security
- 6.4.0 - 6.4.3
缓解措施
受影响版本的用户应升级到相应的修复版本。
| 受影响版本 | 修复版本 | 可用性 |
|---|---|---|
| 6.4.x | 6.4.4 | OSS |
无需其他缓解措施。
如果您无法升级，您可以选择以下任一方式：
- 确保目标方法具有注解，而不是其参数化祖先，或者
- 发布一个
AuthorizationManagerBeforeMethodInterceptor，它能够正确查找参数化类型上的注解（请参阅 Spring Security 问题日志中的示例）
致谢
此漏洞由 Vasil Ilchev 和 Neale Upstone 独立发现并负责任地报告。
参考资料
报告漏洞
要报告 Spring 组合项目中存在的安全漏洞，请参阅安全策略