Debian DLA-2635-1：libspring-java 安全更新
critical Nessus 插件 ID 149004
语言：
简介
远程 Debian 主机缺少安全更新。描述
在模块化的 Java/J2EE 应用程序框架 libspring-java 中发现多个漏洞。攻击者可能在特定配置中执行代码、执行 XST 攻击、发出未经授权的跨域请求或造成 DoS（拒绝服务）。CVE-2018-1270
Spring Framework 允许应用程序通过 spring-messaging 模块，使用简单、内存内 STOMP 代理在 WebSocket 端点上暴露 STOMP。恶意用户（或攻击者）可向代理发送可导致远程代码执行攻击的消息。
CVE-2018-11039
Spring Framework 允许 Web 应用程序使用 Spring MVC 中的 HiddenHttpMethodFilter 将 HTTP 请求方法更改为任何 HTTP 方法（包括 TRACE）。如果应用程序具有预先存在的 XSS 漏洞，恶意用户（或攻击者）可使用此过滤器升级为 XST（跨站跟踪）攻击。
CVE-2018-11040
Spring Framework 允许 Web 应用程序通过 JSONP（带 Padding 的 JSON），通过针对 REST 控制器的 AbstractJsonpResponseBodyAdvice 和针对浏览器请求的 MappingJackson2JsonView 启用跨域请求。默认情况下，Spring Framework 和 Spring Boot 中均未启用两者，但当在应用程序中配置 MappingJackson2JsonView 时，便可通过“jsonp”和“callback”JSONP 参数自动准备好使用 JSONP 支持，从而启用跨域请求。
CVE-2018-15756
当通过 ResourceHttpRequestHandler 服务静态资源，或在注释的控制器返回 org.springframework.core.io.Resource 时启动 5.0，Spring Framework 将为范围请求提供支持。恶意用户（或攻击者）可以添加带有大量范围、带有重叠宽范围或两者兼具的范围标头，发起拒绝服务攻击。
对于 Debian 9 Stretch，已在版本 4.3.5-1+deb9u1 中修复这些问题。
建议您升级 libspring-java 程序包。
如需了解 libspring-java 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/libspring-java
注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。
解决方案
升级受影响的程序包。另见
https://lists.debian.org/debian-lts-announce/2021/04/msg00022.html
插件详情
严重性: Critical
ID: 149004
文件名: debian_DLA-2635.nasl
版本: 1.6
类型: local
代理: unix
发布时间: 2021/4/27
最近更新时间: 2024/1/12
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: High
基本分数: 7.5
时间分数: 5.9
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2018-1270
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.8
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:debian:debian_linux:libspring-web-java, p-cpe:/a:debian:debian_linux:libspring-web-portlet-java, p-cpe:/a:debian:debian_linux:libspring-instrument-java, p-cpe:/a:debian:debian_linux:libspring-expression-java, p-cpe:/a:debian:debian_linux:libspring-context-java, p-cpe:/a:debian:debian_linux:libspring-core-java, cpe:/o:debian:debian_linux:9.0, p-cpe:/a:debian:debian_linux:libspring-jms-java, p-cpe:/a:debian:debian_linux:libspring-orm-java, p-cpe:/a:debian:debian_linux:libspring-oxm-java, p-cpe:/a:debian:debian_linux:libspring-web-servlet-java, p-cpe:/a:debian:debian_linux:libspring-messaging-java, p-cpe:/a:debian:debian_linux:libspring-test-java, p-cpe:/a:debian:debian_linux:libspring-transaction-java, p-cpe:/a:debian:debian_linux:libspring-context-support-java, p-cpe:/a:debian:debian_linux:libspring-beans-java, p-cpe:/a:debian:debian_linux:libspring-aop-java, p-cpe:/a:debian:debian_linux:libspring-jdbc-java
必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可利用: true
易利用性: Exploits are available
补丁发布日期: 2021/4/23
漏洞发布日期: 2018/4/6
参考资料信息
CVE: CVE-2018-11039, CVE-2018-11040, CVE-2018-1270, CVE-2018-15756