Spring-Web-5xx-Mitigated-version

Panoramica

Questa versione mitigata di Spring Web (5.x.x) è specificamente progettata per affrontare vulnerabilità critiche rilevate da più vendor tramite Sonatype e Mend. Le vulnerabilità, identificate nell'avviso CVE-2016-1000027, rappresentano un rischio di esecuzione remota di codice (RCE) quando Spring Framework 4.1.4 viene utilizzato per la deserializzazione Java di dati non attendibili. È essenziale notare che la soluzione raccomandata prevede l'aggiornamento a una versione successiva alla 5.x.x, che richiede l'uso di OpenJDK 17 o versioni successive. Tuttavia, a causa dei vincoli tecnici affrontati da varie organizzazioni che si affidano a Sonatype e Mend, che spesso richiedono l'uso continuato di OpenJDK 8, è stata sviluppata questa versione.

Caratteristiche principali

• Mitigazione delle vulnerabilità: La versione mitigata rimuove la funzionalità suscettibile ad attacchi RCE (handleRequest), affrontando efficacemente i rischi di sicurezza identificati associati alla vulnerabilità CVE-2016-1000027 nel progetto Spring-web.

• Funzionalità ridotta: Questa versione esclude esplicitamente l'uso della funzionalità handleRequest in HttpInvokerServiceExporter per eliminare i rischi di sicurezza associati.

Prerequisiti

• Versione Java: Mentre la correzione ufficiale (versione 5.x.x) richiede OpenJDK 17 o superiore, questa versione mitigata è pensata per le organizzazioni vincolate all'uso di OpenJDK 8 a causa di specifici requisiti tecnici.
• Nota: Questa versione presuppone che la funzionalità handleRequest in HttpInvokerServiceExporter non sia richiesta per la tua applicazione.

Utilizzo

Integra la versione mitigata nel tuo progetto basato su Spring per beneficiare dei miglioramenti di sicurezza e delle misure di mitigazione del rischio.

Dichiarazione di esclusione di responsabilità

Questa versione mitigata mira a fornire una soluzione provvisoria per le organizzazioni che incontrano difficoltà nell'adozione dell'aggiornamento raccomandato di Spring Framework. Gli utenti sono invitati a controllare regolarmente gli aggiornamenti ufficiali e a migrare verso versioni più recenti non appena i loro vincoli tecnici lo consentono.

Licenza

Questo software è fornito secondo i termini della licenza ISC. Vedere il file LICENSE per i dettagli.

Riconoscimenti

Un ringraziamento speciale alla community di Spring Framework per i suoi continui sforzi nel migliorare la sicurezza e la funzionalità del framework.

Altri riferimenti

https://www.sourceclear.com/vulnerability-database/security/remote-code-execution-rce/java/sid-22252