安全专题

当前位置: 首页 > 正文

关于Spring Session信息泄露漏洞(CVE-2023-20866)的风险提示

发布时间:2023年04月28日    浏览人数:

Spring Session是Spring的一个项目,它提供了用于管理用户会话信息的API和实现。

一、漏洞详情

Spring Session 3.0.0 版本中,当使用 HeaderHttpSessionIdResolver(基于请求头解析sessionId)时,Session ID可以被记录到标准输出流中,有权访问应用程序日志的威胁者可以利用该漏洞获取敏感信息,并用于会话劫持攻击。

二、影响范围

Spring Session 版本:3.0.0

三、修复方案

目前该漏洞已经修复,受影响用户可升级到以下版本:

Spring Session 版本:3.0.1

下载链接:https://github.com/spring-projects/spring-session/releases/tag/3.0.1

注:不使用 HeaderHttpSessionIdResolver的应用程序不易受到攻击。


上一篇: 关于Linux OverlayFS权限提升漏洞(CVE-2023-0386)的风险提示
下一篇: 关于Google Chrome远程代码执行漏洞(CVE-2023-2033)的风险提示