spring框架漏洞整理

近日， Spring官方发布多个安全公告其中包括3个严重，2个高危漏洞，漏洞涉及Spring Messaging组件， Spring Security框架，Spring Data 框架等多个模块，攻击者可通过这些漏洞实施远程代码执行攻击、拒绝服务攻击及获取敏感信息等。

Spring Messaging组件中存在漏洞可导致正则表达式拒绝服务攻击（CVE-2018-1257）

Spring是一个开放源代码的设计层面框架，他解决的是业务逻辑层和其他各层的松耦合问题，因此它将面向接口的编程思想贯穿整个系统应用。Spring是于2003 年兴起的一个轻量级的Java 开发框架，由Rod Johnson创建。简单来说，Spring是一个分层的JavaSE/EE full-stack(一站式) 轻量级开源框架。

1、spring框架漏洞类型:拒绝服务攻击

1.1spring框架漏洞修复方案：

升级Spring框架到5.0.6/4.3.17。

1.2参考链接

https://pivotal.io/security/cve-2018-1257

Spring Security框架Method Security安全限制绕过漏洞（CVE-2018-1258）

2、spring框架漏洞类型:未授权访问