CVE-2019-3774
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 87 - wyżej niż 87% wszystkich znanych CVE
Streszczenie
Spring Batch w wersjach 3.0.9, 4.0.1, 4.1.0 i starszych nieobsługiwanych jest podatny na wstrzykiwanie zewnętrznych encji XML (XXE) podczas przetwarzania danych XML pochodzących z niezaufanych źródeł.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do odczytu plików z serwera, przeprowadzenia ataków SSRF lub innych działań związanych z przetwarzaniem XML, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Spring Batch do wersji, w której podatność została naprawiona, oraz unikanie przetwarzania niezaufanych danych XML bez odpowiedniej konfiguracji zabezpieczeń.
Inne podatności w Spring Batch
Zobacz wszystkie- CVE-2026-47881Średnie
FlatFileItemReader w Spring Batch obsługuje pliki, w których pojedynczy logiczny rekord obejmuje wiele fizycznych linii — na przykład pole CSV zawierające osadzone znaki nowej linii w cudzysłowie. Specjalnie spreparowany plik wejściowy może wykorzystać sposób, w jaki czytnik składa te wieloliniowe rekordy, do zużycia nadmiernej ilości czasu procesora i pamięci, powodując zatrzymanie zadania wsadowego lub wyczerpanie pamięci. Podatność dotyczy Spring Batch w wersjach 6.0.0-6.0.4, 5.2.0-5.2.6 oraz 4.3.0-4.3.13.
- CVE-2026-47878Średnie
DefaultExecutionContextSerializer, używany domyślnie w JDBC repozytorium zadań Spring Batch, przekazuje zdekodowane bajty Base64 bezpośrednio do ObjectInputStream.readObject() bez filtra wejściowego ograniczającego typy do zaufanej listy dozwolonych klas.
- CVE-2026-47875Średnie
Aplikacje deserializujące konteksty wykonania za pomocą Jackson2ExecutionContextStringSerializer są podatne na atak deserializacji, jeśli używają niezaufanego źródła danych dla repozytorium zadań. JobParameterDeserializer nie egzekwuje prawidłowo listy dozwolonych typów, co pozwala atakującemu na stworzenie złośliwego wejścia prowadzącego do wykonania dowolnego kodu, w tym znanych gadżetów RCE Jacksona.
- CVE-2020-5411Wysokie
Jackson, gdy skonfigurowano z domyślnym typowaniem, zawiera podatność na deserializację, która może prowadzić do wykonania dowolnego kodu. Spring Batch, używając Jacksona z globalnym domyślnym typowaniem, może pozwolić na wykonanie kodu, jeśli atakujący ma dostęp zapisu do magazynu danych JobRepository.
Oryginalny opis (angielski, źródło NVD)
Spring Batch versions 3.0.9, 4.0.1, 4.1.0, and older unsupported versions, were susceptible to XML External Entity Injection (XXE) when receiving XML data from untrusted sources.