【漏洞通告】Spring Framework反射型文件下载漏洞 (CVE-2020-5421)
2020-09-21
综述
近日，VMware Tanzu发布安全公告，公布了一个存在于Spring Framework中的反射型文件下载（Reflected File Download,RFD）漏洞CVE-2020-5421。CVE-2020-5421 可通过jsessionid路径参数，绕过防御RFD攻击的保护。先前针对RFD的防护是为应对 CVE-2015-5211 添加的。
攻击者通过向用户发送带有批处理脚本扩展名的URL，使用户下载并执行文件，从而危害用户系统。
官方已发布修复了漏洞的新版本。
Spring Framework是 Java 平台的一个开源全栈应用程序框架和控制反转容器实现，一般被直接称为 Spring。
参考链接：
https://tanzu.vmware.com/security/cve-2020-5421
受影响产品版本
Spring Framework 5.2.0 - 5.2.8
Spring Framework 5.1.0 - 5.1.17
Spring Framework 5.0.0 - 5.0.18
Spring Framework 4.3.0 - 4.3.28
以及其他已不受支持的版本
不受影响产品版本
Spring Framework 5.2.9
Spring Framework 5.1.18
Spring Framework 5.0.19
Spring Framework 4.3.29
解决方案
官方已发布修复了漏洞的新版本，建议相关用户尽快升级进行防护。
下载链接：
https://github.com/spring-projects/spring-framework/releases
另外，针对 RFD 攻击，官方曾在 CVE-2015-5211 的通告中给出如下建议(https://tanzu.vmware.com/security/cve-2015-5211)：
1、 编码而不是转义JSON响应。具体操作详见 https://github.com/rwinch/spring-jackson-owasp。
2、 将后缀模式匹配配置为关闭或仅限于显式注册的后缀。
3、 配置内容协商时，将 "useJaf "和 "ignoreUknownPathExtension "属性设置为false，这将导致未知扩展名的URL得到406响应。但请注意，如果URL本来会在结尾处有一个点，就不要使用该项。
4、 在响应中添加 "X-Content-Type-Options: nosniff "头。
声 明
本安全公告仅用来描述可能存在的安全问题，尊龙凯时科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，尊龙凯时科技以及安全公告作者不为此承担任何责任。尊龙凯时科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经尊龙凯时科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
关于尊龙凯时科技
尊龙凯时科技集团股份有限公司（简称尊龙凯时科技）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。
基于多年的安全攻防研究，尊龙凯时科技在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。
尊龙凯时科技集团股份有限公司于2014年1月29日起在深圳证券交易所创业板上市，股票简称：尊龙凯时科技，股票代码：300369。
