领先一步
VMware 提供培训和认证，助您加速进步。
了解更多CVE-2023-34042：spring-security.xsd 的权限分配不正确
描述
spring-security-config jar 包中的 spring-security.xsd 文件具有全局可写权限，这意味着如果该文件被提取，任何能够访问文件系统的人都可以对其进行写入。
虽然目前没有已知的漏洞利用，但这是一个“CWE-732：关键资源的权限分配不正确”的示例，并可能导致漏洞利用。用户应更新到最新版本的 Spring Security，以缓解未来可能围绕此问题发现的任何漏洞利用。
受影响的 Spring 产品和版本
Spring Security
- 6.1.1 - 6.1.3
- 6.0.4 - 6.0.6
- 5.8.4 - 5.8.6
- 5.7.9 - 5.7.10
缓解措施
以下 Spring Security 版本包含针对此漏洞的修复
- 6.1.4+
- 6.0.7+
- 5.8.7+
- 5.7.11+
致谢
此漏洞由 Martin Holland - Oval Business Solutions 负责任地披露
参考资料
报告漏洞
要报告 Spring 组合项目中存在的安全漏洞，请参阅安全策略