CVE-2015-5211
KrytyczneStreszczenie
Framework Spring w wersjach od 4.2.0 do 4.2.1, 4.0.0 do 4.1.7, 3.2.0 do 3.2.14 oraz starszych, nieobsługiwanych wersjach jest podatny na atak Reflected File Download (RFD). Atak polega na stworzeniu przez złośliwego użytkownika adresu URL z rozszerzeniem skryptu wsadowego, co skutkuje pobraniem odpowiedzi zamiast jej renderowania, a także zawiera pewne dane wejściowe odzwierciedlone w odpowiedzi.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do pobrania złośliwych plików na urządzenia użytkowników, co może prowadzić do infekcji złośliwym oprogramowaniem lub kradzieży danych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji frameworka Spring, aby usunąć tę podatność oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków.
Oryginalny opis (angielski, źródło NVD)
Under some situations, the Spring Framework 4.2.0 to 4.2.1, 4.0.0 to 4.1.7, 3.2.0 to 3.2.14 and older unsupported versions is vulnerable to a Reflected File Download (RFD) attack. The attack involves a malicious user crafting a URL with a batch script extension that results in the response being downloaded rather than rendered and also includes some input reflected in the response.