阿里云漏洞库

该漏洞EXP已公开传播，漏洞利用成本极低，建议您立即关注并修复。

漏洞描述

Spring Framework是一个开源的Java／Java EE全功能栈（full-stack）的应用程序框架，以Apache许可证形式发布，也有.NET平台上的移植版本。

Spring Framework在处理XML数据时Jaxb2RootElementHttpMessageConverter类存在错误，允许攻击者发送包含外部实体引用的特制的XML数据，获取系统本地文件内容。

解决建议

Spring Framework 3.2.8和4.0.2已经修复该漏洞，建议用户下载更新：
https://www.springsource.org

参考链接
http://rhn.redhat.com/errata/RHSA-2014-0400.html
http://secunia.com/advisories/57915
http://www.oracle.com/technetwork/security-advisory/cpuapr2018-3678067.html
http://www.securityfocus.com/bid/66148
https://jira.spring.io/browse/SPR-11376

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	springsource	spring_framework	*		Up to (including) 3.2.7
	运行在以下环境
	应用	springsource	spring_framework	3.0.0	-
	运行在以下环境
	应用	springsource	spring_framework	3.0.0.m1	-
	运行在以下环境
	应用	springsource	spring_framework	3.0.0.m2	-
	运行在以下环境
	应用	springsource	spring_framework	3.0.1	-
	运行在以下环境
	应用	springsource	spring_framework	3.0.2	-
	运行在以下环境
	应用	springsource	spring_framework	3.0.3	-
	运行在以下环境
	应用	springsource	spring_framework	3.0.4	-
	运行在以下环境
	应用	springsource	spring_framework	3.0.5	-
	运行在以下环境
	应用	springsource	spring_framework	3.0.6	-
	运行在以下环境
	应用	springsource	spring_framework	3.0.7	-
	运行在以下环境
	应用	springsource	spring_framework	3.1.0	-
	运行在以下环境
	应用	springsource	spring_framework	3.1.1	-
	运行在以下环境
	应用	springsource	spring_framework	3.1.2	-
	运行在以下环境
	应用	springsource	spring_framework	3.1.3	-
	运行在以下环境
	应用	springsource	spring_framework	3.1.4	-
	运行在以下环境
	应用	springsource	spring_framework	3.2.0	-
	运行在以下环境
	应用	springsource	spring_framework	3.2.1	-
	运行在以下环境
	应用	springsource	spring_framework	3.2.2	-
	运行在以下环境
	应用	springsource	spring_framework	3.2.3	-
	运行在以下环境
	应用	springsource	spring_framework	3.2.4	-
	运行在以下环境
	应用	springsource	spring_framework	3.2.5	-
	运行在以下环境
	应用	springsource	spring_framework	3.2.6	-
	运行在以下环境
	应用	springsource	spring_framework	4.0.0	-
	运行在以下环境
	应用	springsource	spring_framework	4.0.1	-
	运行在以下环境
	系统	debian	DPKG	*		Up to (excluding) 3.0.6.RELEASE-13
	运行在以下环境
	系统	debian_7	libspring-java	*		Up to (excluding) 3.0.6.RELEASE-6+deb7u3
	运行在以下环境
	系统	ubuntu_14.04.6_lts	libspring-java	*		Up to (excluding) 3.0.6.RELEASE-13
	运行在以下环境
	系统	ubuntu_16.04.7_lts	libspring-java	*		Up to (excluding) 3.0.6.RELEASE-13

攻击路径

远程
攻击复杂度

复杂
权限要求

无需权限
影响范围

越权影响
EXP成熟度

EXP 已公开
补丁情况

临时补丁
数据保密性

数据泄露
数据完整性

传输被破坏
服务器危害

DoS
全网数量

N/A

CWE-ID	漏洞类型
CWE-352	跨站请求伪造（CSRF）

高危 Spring Framework Jaxb2RootElementHttpMessageConverter XML实体引用信息泄露漏洞

漏洞描述

解决建议

参考链接

受影响软件情况