CVE-2018-15756
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 95 - wyżej niż 95% wszystkich znanych CVE
Streszczenie
Spring Framework w wersji 5.1, w wersjach 5.0.x przed 5.0.10, w wersjach 4.3.x przed 4.3.20 oraz starszych nieobsługiwanych wersjach z gałęzi 4.2.x zapewnia obsługę żądań zakresowych przy serwowaniu zasobów statycznych przez ResourceHttpRequestHandler lub, począwszy od wersji 5.0, gdy kontroler z adnotacjami zwraca org.springframework.core.io.Resource. Złośliwy użytkownik (lub atakujący) może dodać nagłówek zakresu z dużą liczbą zakresów lub z szerokimi, nakładającymi się zakresami, lub oba, co prowadzi do ataku typu denial of service. Podatność dotyczy aplikacji korzystających z spring-webmvc lub spring-webflux. Takie aplikacje muszą również mieć rejestrację do serwowania zasobów statycznych (np. JS, CSS, obrazy itp.) lub mieć kontroler z adnotacjami zwracający org.springframework.core.io.Resource. Aplikacje Spring Boot korzystające z spring-boot-starter-web lub spring-boot-starter-webflux są gotowe do serwowania zasobów statycznych od razu i dlatego są podatne.
Ocena ryzyka
Atakujący może spowodować przeciążenie serwera, co prowadzi do niedostępności usługi (DoS).
Rekomendacja
Zaktualizuj Spring Framework do wersji zawierającej poprawkę (np. 5.1.1, 5.0.10, 4.3.20 lub nowsze) i rozważ ograniczenie liczby zakresów w nagłówkach.
Inne podatności w Spring Framework
Zobacz wszystkie- CVE-2014-0225Wysokie
Framework Spring w wersjach od 4.0.0 do 4.0.4 oraz od 3.0.0 do 3.2.8, a także prawdopodobnie wcześniejszych wersjach, nie wyłączał domyślnie rozwiązywania odniesień URI w deklaracji DTD podczas przetwarzania dokumentów XML dostarczonych przez użytkowników. To umożliwia atak XXE.
- CVE-2026-59313Krytyczne
Aplikacje Spring MVC korzystające z funkcjonalnego frameworka webowego są podatne na uszkodzenie strumienia podczas korzystania z Server-Sent Events (SSE). Dotyczy Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30 oraz 5.3.0-5.3.49.
- CVE-2026-59283Krytyczne
Aplikacje, które oceniają wyrażenia Spring Expression Language (SpEL) przy użyciu SimpleEvaluationContext, mogą być podatne na obejście zabezpieczeń, gdy aktywny jest kompilator wyrażeń SpEL. Dotyczy wielu wersji Spring Framework.
- CVE-2026-47892Krytyczne
Aplikacja WebFlux używająca funkcjonalnych endpointów i wdrożona z DispatcherServlet może być podatna na obejście predykatu nagłówka w żądaniu pre-flight. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.5.RELEASE-5.2.25.RELEASE.
- CVE-2026-47891Krytyczne
Aplikacja Spring WebFlux, która używa procesora XML Aalto do parsowania danych XML, nie egzekwuje poprawnie limitu maxInMemorySize. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.25.RELEASE i wcześniejszych.
- CVE-2026-47890Krytyczne
Aplikacje Spring MVC i WebFlux są podatne na uszkodzenie strumienia podczas korzystania z Server-Sent Events (SSE) z fragmentami widoków. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8 oraz 6.2.0-6.2.19.
- CVE-2022-22968Średnie
W Spring Framework w wersjach 5.3.0-5.3.18, 5.2.0-5.2.20 oraz starszych nieobsługiwanych, wzorce dla disallowedFields na DataBinder są wrażliwe na wielkość liter, co oznacza, że pole nie jest skutecznie chronione, chyba że jest wymienione zarówno z wielką, jak i małą literą dla pierwszego znaku pola, w tym wielką i małą literą dla pierwszego znaku wszystkich zagnieżdżonych pól w ścieżce właściwości.
- CVE-2022-22965KrytyczneAktywnie exploitowane
Aplikacja Spring MVC lub Spring WebFlux uruchomiona na JDK 9+ może być podatna na zdalne wykonanie kodu (RCE) poprzez mechanizm wiązania danych. Exploit wymaga uruchomienia aplikacji na Tomcat jako wdrożenie WAR; aplikacje jako wykonywalny jar Spring Boot nie są podatne na ten konkretny exploit, ale natura podatności jest bardziej ogólna.
- CVE-2022-22950Średnie
W Spring Framework w wersjach 5.3.0 - 5.3.16 oraz starszych nieobsługiwanych wersjach, użytkownik może dostarczyć specjalnie spreparowane wyrażenie SpEL, które może spowodować warunek odmowy usługi.
- CVE-2020-5421Średnie
W Spring Framework w wersjach 5.2.0-5.2.8, 5.1.0-5.1.17, 5.0.0-5.0.18, 4.3.0-4.3.28 oraz starszych nieobsługiwanych, ochrona przed atakami RFD z CVE-2015-5211 może zostać ominięta w zależności od użytej przeglądarki, poprzez użycie parametru ścieżki jsessionid.
Oryginalny opis (angielski, źródło NVD)
Spring Framework, version 5.1, versions 5.0.x prior to 5.0.10, versions 4.3.x prior to 4.3.20, and older unsupported versions on the 4.2.x branch provide support for range requests when serving static resources through the ResourceHttpRequestHandler, or starting in 5.0 when an annotated controller returns an org.springframework.core.io.Resource. A malicious user (or attacker) can add a range header with a high number of ranges, or with wide ranges that overlap, or both, for a denial of service attack. This vulnerability affects applications that depend on either spring-webmvc or spring-webflux. Such applications must also have a registration for serving static resources (e.g. JS, CSS, images, and others), or have an annotated controller that returns an org.springframework.core.io.Resource. Spring Boot applications that depend on spring-boot-starter-web or spring-boot-starter-webflux are ready to serve static resources out of the box and are therefore vulnerable.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS