CVE-2011-2730
Açıklama
Bir kapsayıcının Expression Language (EL) desteklediği durumlarda, VMware SpringSource Spring Framework'ün 2.5.6.SEC03, 2.5.7.SR023 öncesi ve 3.0.6 öncesi 3.x sürümleri, etiketlerdeki EL ifadelerini iki kez değerlendirerek uzaktaki saldırganların şu yollarla hassas bilgileri elde etmesine olanak tanır: (1) bir (a) spring:hasBindErrors etiketi içindeki name özniteliği; (2) bir (b) spring:bind veya (c) spring:nestedpath etiketi içindeki path özniteliği; (3) arguments, (4) code, (5) text, (6) var, (7) scope veya (8) message öznitelikleri içeren bir (d) spring:message veya (e) spring:theme etiketi; veya (9) var, (10) scope veya (11) value öznitelikleri içeren bir (f) spring:transform etiketi; bu durum "Expression Language Injection" olarak da bilinir.
Nasıl düzeltilir
- org.springframework:spring-core3.0.6, 2.5.6.SEC03, 2.5.7.SR023 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| springsource spring_framework | v ≤ 2.5.7_sr01, v ≤ 3.0.5, 2.5.0, 2.5.1, 2.5.2, 2.5.3, 2.5.4, 2.5.5, 2.5.6, 2.5.7, 3.0.0, 3.0.1, 3.0.2, 3.0.3, 3.0.4 | — |
| org.springframework:spring-coreMaven | 3.0.0 ≤ v < 3.0.6, v < 2.5.6.SEC03, 2.5.7.SR0 ≤ v < 2.5.7.SR023 | 3.0.6, 2.5.6.SEC03, 2.5.7.SR023 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.