Spring Security身份认证绕过漏洞风险通告

ikt4435

已于 2022-05-25 21:16:50 修改

阅读量4k

点赞数

分类专栏：编程程序员 Java 文章标签：安全 web安全 java

于 2022-05-25 21:16:19 首次发布

本文链接：https://blog.csdn.net/Trouvailless/article/details/124974026

版权

近期，Spring Security出现了一种身份认证绕过漏洞(CVE-2022-22978)，攻击者可以利用RegexRequestMatcher的配置缺陷，通过特定的数据包绕过权限验证。奇安信CERT已成功复现该漏洞并提供复现截图。为应对风险，建议用户立即自查，并更新到Spring Security 5.5.7或5.6.4的最新版本。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

近日，奇安信CERT监测到Spring Security 身份认证绕过漏洞 (CVE-2022-22978) 细节及PoC公开。当Spring Security中使用RegexRequestMatcher进行权限配置，且规则中使用带点号的正则表达式时，未经授权的远程攻击者可通过构造恶意数据包绕过身份认证，导致配置的权限验证失效。目前，奇安信CERT已复现此漏洞，同时鉴于已有细节及PoC公开，建议客户尽快做好自查，及时更新至最新版本。

漏洞名称	Spring Security 身份认证绕过漏洞
公开时间	2022-05-17	更新时间	2022-05-24
CVE 编号	CVE-2022-22978	其他编号	QVD-2022-7329
威胁类型	身份认证绕过	技术类型	授权不当
厂商	VMware	产品	Spring Security
风险等级
奇安信 CERT 风险评级		风险等级