在模块化的 Java/J2EE 应用程序框架 libspring-java 中发现多个漏洞。攻击者可能在特定配置中执行代码、执行 XST 攻击、发出未经授权的跨域请求或造成 DoS（拒绝服务）。

CVE-2018-1270

Spring Framework 允许应用程序通过 spring-messaging 模块，使用简单、内存内 STOMP 代理在 WebSocket 端点上暴露 STOMP。恶意用户（或攻击者）可向代理发送可导致远程代码执行攻击的消息。

CVE-2018-11039

Spring Framework 允许 Web 应用程序使用 Spring MVC 中的 HiddenHttpMethodFilter 将 HTTP 请求方法更改为任何 HTTP 方法（包括 TRACE）。如果应用程序具有预先存在的 XSS 漏洞，恶意用户（或攻击者）可使用此过滤器升级为 XST（跨站跟踪）攻击。

CVE-2018-11040

Spring Framework 允许 Web 应用程序通过 JSONP（带 Padding 的 JSON），通过针对 REST 控制器的 AbstractJsonpResponseBodyAdvice 和针对浏览器请求的 MappingJackson2JsonView 启用跨域请求。默认情况下，Spring Framework 和 Spring Boot 中均未启用两者，但当在应用程序中配置 MappingJackson2JsonView 时，便可通过“jsonp”和“callback”JSONP 参数自动准备好使用 JSONP 支持，从而启用跨域请求。

CVE-2018-15756

当通过 ResourceHttpRequestHandler 服务静态资源，或在注释的控制器返回 org.springframework.core.io.Resource 时启动 5.0，Spring Framework 将为范围请求提供支持。恶意用户（或攻击者）可以添加带有大量范围、带有重叠宽范围或两者兼具的范围标头，发起拒绝服务攻击。

对于 Debian 9 Stretch，已在版本 4.3.5-1+deb9u1 中修复这些问题。

建议您升级 libspring-java 程序包。

如需了解 libspring-java 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/libspring-java

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

检测

Debian DLA-2635-1：libspring-java 安全更新

critical Nessus 插件 ID 149004

版本 1.3