描述

从“If-Match”或“If-None-Match”请求头解析 ETag 的应用程序容易受到 DoS 攻击。

受影响的 Spring 产品和版本

Spring Framework

• 6.1.0 - 6.1.11
• 6.0.0 - 6.0.22
• 5.3.0 - 5.3.37
• 较旧的、不受支持的版本也受到影响

缓解措施

受影响版本的用户应升级到相应的修复版本。

无需其他缓解措施。

使用旧的、不受支持版本的用户可以通过例如 Filter 对“If-Match”和“If-None-Match”头强制执行大小限制。

致谢

此问题由 Seokchan Yoon 负责任地报告。

历史

• 2024-08-14：初始漏洞报告发布。