Spring-Web-5xx-Mitigated-version

Présentation

Cette version atténuée de Spring Web (5.x.x) est spécifiquement conçue pour corriger les vulnérabilités critiques détectées par plusieurs fournisseurs utilisant Sonatype et Mend. Les vulnérabilités, identifiées sous l'avis CVE-2016-1000027, présentent un risque d'exécution de code à distance (RCE) lorsque Spring Framework 4.1.4 est utilisé pour la désérialisation Java de données non fiables. Il est essentiel de noter que la résolution recommandée implique une mise à niveau vers une version au-delà de 5.x.x, ce qui impose l'utilisation d'OpenJDK 17 ou ultérieur. Cependant, en raison des contraintes techniques auxquelles sont confrontées diverses organisations utilisant Sonatype et Mend, qui exigent souvent la poursuite de l'utilisation d'OpenJDK 8, cette version a été développée.

Fonctionnalités clés

• Atténuation des vulnérabilités : La version atténuée supprime la fonctionnalité susceptible d'attaques RCE (handleRequest), corrigeant ainsi efficacement les risques de sécurité identifiés associés à la vulnérabilité CVE-2016-1000027 dans le projet Spring-web.

• Fonctionnalité réduite : Cette version exclut explicitement l'utilisation de la fonctionnalité handleRequest dans HttpInvokerServiceExporter afin d'éliminer les risques de sécurité associés.

Prérequis

• Version Java : Alors que le correctif officiel (version 5.x.x) nécessite OpenJDK 17 ou supérieur, cette version atténuée est adaptée aux organisations contraintes d'utiliser OpenJDK 8 en raison d'exigences techniques spécifiques.
• Remarque : Cette version suppose que la fonctionnalité handleRequest dans HttpInvokerServiceExporter n'est pas requise pour votre application.

Utilisation

Intégrez la version atténuée dans votre projet Spring pour bénéficier des améliorations de sécurité et des mesures d'atténuation des risques.

Avertissement

Cette version atténuée vise à fournir une solution provisoire pour les organisations confrontées à des difficultés pour adopter la mise à jour recommandée de Spring Framework. Les utilisateurs sont encouragés à vérifier régulièrement les mises à jour officielles et à migrer vers des versions plus récentes dès que leurs contraintes techniques le permettent.

Licence

Ce logiciel est fourni sous les termes de la licence ISC. Voir le fichier LICENSE pour plus de détails.

Remerciements

Un merci spécial à la communauté Spring Framework pour ses efforts continus visant à améliorer la sécurité et la fonctionnalité du framework.

Référence supplémentaire

https://www.sourceclear.com/vulnerability-database/security/remote-code-execution-rce/java/sid-22252