Spring-Web-5xx-Mitigated-version

Resumen

Esta versión mitigada de Spring Web (5.x.x) está diseñada específicamente para abordar vulnerabilidades críticas detectadas por múltiples proveedores que utilizan Sonatype y Mend. Las vulnerabilidades, identificadas bajo el aviso CVE-2016-1000027, presentan un riesgo de ejecución remota de código (RCE) cuando se utiliza Spring Framework 4.1.4 para la deserialización de datos no confiables en Java. Es importante señalar que la resolución recomendada implica actualizar a una versión posterior a 5.x.x, la cual requiere el uso de OpenJDK 17 o superior. Sin embargo, debido a restricciones técnicas que enfrentan varias organizaciones que dependen de Sonatype y Mend, las cuales a menudo requieren el uso continuo de OpenJDK 8, se ha desarrollado esta versión.

Características principales

• Mitigación de vulnerabilidades: Esta versión mitigada elimina la funcionalidad susceptible a ataques RCE (handleRequest), abordando de manera efectiva los riesgos de seguridad identificados asociados con la vulnerabilidad CVE-2016-1000027 en el proyecto Spring-web.
• Funcionalidad reducida: Esta versión excluye explícitamente el uso de la funcionalidad handleRequest en HttpInvokerServiceExporter para eliminar los riesgos de seguridad asociados.

Requisitos previos

• Versión de Java: Mientras que la solución oficial (versión 5.x.x) requiere OpenJDK 17 o superior, esta versión mitigada está diseñada para organizaciones limitadas a usar OpenJDK 8 debido a requisitos técnicos específicos.
• Nota: Esta versión asume que la funcionalidad handleRequest en HttpInvokerServiceExporter no es necesaria para tu aplicación.

Uso

Integra la versión mitigada en tu proyecto basado en Spring para beneficiarte de las mejoras de seguridad y las medidas de mitigación de riesgos.

Aviso legal

Esta versión mitigada tiene como objetivo proporcionar una solución provisional para organizaciones que enfrentan desafíos al adoptar la actualización recomendada de Spring Framework. Se recomienda a los usuarios verificar periódicamente las actualizaciones oficiales y migrar a versiones más recientes tan pronto como sus limitaciones técnicas lo permitan.

Licencia

Este software se proporciona bajo los términos de la Licencia ISC. Consulte el archivo LICENSE para obtener más detalles.

Agradecimientos

Agradecimientos especiales a la comunidad de Spring Framework por sus continuos esfuerzos en mejorar la seguridad y funcionalidad del framework.

Más referencias

https://www.sourceclear.com/vulnerability-database/security/remote-code-execution-rce/java/sid-22252