CVE-2011-2730
Təsvir
VMware SpringSource Spring Framework-ün 2.5.6.SEC03, 2.5.7.SR023 versiyalardan əvvəlki və 3.0.6 versiyadan əvvəlki 3.x versiyalarında, konteyner Expression Language (EL) dəstəklədikdə, teqlərdəki EL ifadələri iki dəfə qiymətləndirilir. Bu, uzaqdakı hücumçulara aşağıdakılar vasitəsilə həssas məlumatları əldə etməyə imkan verir: (1) spring:hasBindErrors teqindəki name atributu; (2) spring:bind və ya spring:nestedpath teqlərindəki path atributu; (3) arguments, (4) code, (5) text, (6) var, (7) scope və ya (8) message atributları spring:message və ya spring:theme teqlərində; yaxud (9) var, (10) scope və ya (11) value atributları spring:transform teqində; bu zəiflik "Expression Language Injection" kimi də tanınır.
Necə düzəltmək olar
- org.springframework:spring-core3.0.6, 2.5.6.SEC03, 2.5.7.SR023 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| springsource spring_framework | v ≤ 2.5.7_sr01, v ≤ 3.0.5, 2.5.0, 2.5.1, 2.5.2, 2.5.3, 2.5.4, 2.5.5, 2.5.6, 2.5.7, 3.0.0, 3.0.1, 3.0.2, 3.0.3, 3.0.4 | — |
| org.springframework:spring-coreMaven | 3.0.0 ≤ v < 3.0.6, v < 2.5.6.SEC03, 2.5.7.SR0 ≤ v < 2.5.7.SR023 | 3.0.6, 2.5.6.SEC03, 2.5.7.SR023 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.