一、漏洞详情
Spring Security是一个身份验证和访问控制框架。
近日，监测到Spring Security中修复了一个访问控制不当漏洞（CVE-2024-22257）。Spring Security多个受影响版本中，当应用程序直接使用AuthenticatedVoter#vote，并向其传递null身份验证参数时，可能导致错误的true返回值。成功利用该漏洞可能破坏Spring Security中的访问控制，导致身份验证和授权绕过、未授权访问等。
建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。
二、影响范围
Spring Security 6.2.0 - 6.2.2
Spring Security 6.1.0 - 6.1.7
Spring Security 6.0.0 - 6.0.9
Spring Security 5.8.0 - 5.8.10
Spring Security 5.7.0 - 5.7.11
以及不受支持的旧版本。
三、修复建议
目前该漏洞已经修复，受影响用户可升级到以下版本：
Spring Security 5.7.x：升级到5.7.12
Spring Security 5.8.x：升级到5.8.11
Spring Security 6.0.x：升级到6.0.10（仅企业支持）
Spring Security 6.1.x：升级到6.1.8
Spring Security 6.2.x：升级到6.2.3