Spring Framework, versions 5.0.x prior to 5.0.7 and 4.3.x prior to 4.3.18 and older unsupported versions, allows web applications to enable
Spring Framework, versions 5.0.x prior to 5.0.7 and 4.3.x prior to 4.3.18 and older unsupported versions, allows web applications to enable cross-domain requests via JSONP (JSON with Padding) through AbstractJsonpResponseBodyAdvice for REST controllers and MappingJackson2JsonView for browser requests. Both are not enabled by default in Spring Framework nor Spring Boot, however, when MappingJackson2JsonView is configured in an application, JSONP support is automatically ready to use through the "jsonp" and "callback" JSONP parameters, enabling cross-domain requests.
- Опубликовано
- 25 июн. 2018 г.
- Обновлено
- 16 июн. 2026 г.
- EPSS
- 3,2 % · 88-й процентиль
- CWE
- CWE-829
Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.
Инструменты для отчёта
Оценка срочности
31
Наблюдать
Пока низкий приоритет.
- CVSS
- 30 / 40 · 7.5 / 10
- CISA KEV
- 0 / 30 · Нет в списке
- EPSS
- 1 / 30 · 3,2 %
Затронутые системы
| Вендор | Продукт | CPE |
|---|---|---|
| vmware | spring framework | cpe:2.3:a:vmware:spring_framework |
| oracle | agile product lifecycle management | cpe:2.3:a:oracle:agile_product_lifecycle_management |
| oracle | application testing suite | cpe:2.3:a:oracle:application_testing_suite |
| oracle | communications network integrity | cpe:2.3:a:oracle:communications_network_integrity |
| oracle | communications online mediation controller | cpe:2.3:a:oracle:communications_online_mediation_controller |
| oracle | communications services gatekeeper | cpe:2.3:a:oracle:communications_services_gatekeeper |
| oracle | communications unified inventory management | cpe:2.3:a:oracle:communications_unified_inventory_management |
| oracle | endeca information discovery integrator | cpe:2.3:a:oracle:endeca_information_discovery_integrator |
| oracle | enterprise manager | cpe:2.3:a:oracle:enterprise_manager |
| oracle | enterprise manager ops center | cpe:2.3:a:oracle:enterprise_manager_ops_center |
| oracle | flexcube private banking | cpe:2.3:a:oracle:flexcube_private_banking |
| oracle | healthcare master person index | cpe:2.3:a:oracle:healthcare_master_person_index |
и ещё 16
Затронутые версии
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- debian debian linux9.0
- oracle agile product lifecycle management9.3.3
- oracle agile product lifecycle management9.3.4
- oracle agile product lifecycle management9.3.5
- oracle application testing suite12.5.0.3
- oracle application testing suite13.1.0.1
- oracle application testing suite13.2.0.1
- oracle application testing suite13.3.0.1
- oracle communications network integrity7.3.2 и новее · до 7.3.6 включительно
- oracle communications online mediation controller6.1
- oracle communications services gatekeeperдо 6.1.0.4.0
- oracle communications unified inventory management7.3.2
- oracle communications unified inventory management7.3.4
- oracle communications unified inventory management7.3.5
- oracle communications unified inventory management7.4.0
- oracle endeca information discovery integrator3.1.0
- oracle endeca information discovery integrator3.2.0
- oracle enterprise manager13.2
- oracle enterprise manager ops center12.3.3
- oracle flexcube private banking12.0.1.0
Версии, заявленные вендором
Диапазоны затронутых версий, заявленные назначающей организацией (dell). Не зависят от анализа CPE в NVD и обычно опережают его.
Pivotal Spring Framework
- 5.0.x и новее · до 5.0.7затронута
- 4.3.x и новее · до 4.3.18затронута
Затронутые пакеты
Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.
| Экосистема | Пакет | Затронутый диапазон | Исправление |
|---|---|---|---|
| Debian:12 | libspring-java | до 4.3.19-1 | 4.3.19-1 |
| Debian:9 | libspring-java | до 4.3.5-1+deb9u1 | 4.3.5-1+deb9u1 |
| Maven | org.springframework:spring-core | с 4.3.0.RELEASE · до 4.3.18.RELEASE | 4.3.18.RELEASE |
| Maven | org.springframework:spring-core | с 5.0.0.RELEASE · до 5.0.7.RELEASE | 5.0.7.RELEASE |
Тот же продукт
vmware: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2022-22965A Spring MVC or Spring WebFlux application running on JDK 9+ may be vulnerable to remote code execution (RCE) via data binding.KEV99Срочно
- CVE-2018-1270Spring Framework, versions 5.0 prior to 5.0.5 and versions 4.3 prior to 4.3.15 and older unsupported versions, allow applications to expose 62На этой неделе
- CVE-2020-5398RFD Attack via "Content-Disposition" Header Sourced from Request Input by Spring MVC or Spring WebFlux Application57В плане
- CVE-2018-1275Spring Framework, versions 5.0 prior to 5.0.5 and versions 4.3 prior to 4.3.16 and older unsupported versions, allow applications to expose 56В плане
- CVE-2016-1000027Pivotal Spring Framework through 5.3.16 suffers from a potential remote code execution (RCE) issue if used for Java deserialization of untru49В плане
- CVE-2026-59313Server Sent Event stream corruption in Spring MVC functional web framework39Наблюдать
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| debian:libspring-java | 4.3.19-1 · Debian:12 | Реестр пакетов (OSV) |
| Maven:org.springframework:spring-core | 4.3.18.RELEASE | Реестр пакетов (OSV) |
| Maven:org.springframework:spring-core | 5.0.7.RELEASE | Реестр пакетов (OSV) |
Статус эксплойта
Публичный эксплойт неизвестен
Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
Кроме публикации датированных событий нет.
Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).
Ссылки на патчи и коммиты
Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.
Среди источников нет ссылок на коммит или PR.
Авторы
Все исследователиНашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.
В записи CNA нет авторов.
Кандидаты в варианты
Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.
Ночной расчёт связей ничего не нашёл.
Кандидаты в цепочки
Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.
—
Охват bug bounty
Известной публичной программы нет.
Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).
Технические детали
Условия атаки
- Может быть вызвана любым, у кого есть доступ через интернет.
- Учётная запись или пароль не требуются.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- высокое · данные могут быть прочитаны
- Целостность
- нет
- Доступность
- нет
- Вектор атаки
- Сеть
- Сложность атаки
- Низкая
- Требуемые привилегии
- Не требуются
- Взаимодействие с пользователем
- Не требуется
- Область действия
- Не изменяется
- Влияние на конфиденциальность
- Высокое
- Влияние на целостность
- Нет
- Влияние на доступность
- Нет
Класс уязвимости (CWE)
CWE-829 · Inclusion of Functionality from Untrusted Control SphereВектор CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
nvd-primary
Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
Шаблоны атак (CAPEC)
- Code InclusionCAPEC-175вероятность: Medium · Very High
- Serialized Data External LinkingCAPEC-201вероятность: High · High
- DTD InjectionCAPEC-228Medium
- Local Code InclusionCAPEC-251Medium
- PHP Local File InclusionCAPEC-252Medium
- Remote Code InclusionCAPEC-253
- Force Use of Corrupted FilesCAPEC-263Medium
- Open-Source Library ManipulationCAPEC-538вероятность: Low · High
Техники ATT&CK
- Process InjectionT1055
- Browser ExtensionsT1176
- Supply Chain Compromise: Software Dependencies and Development ToolsT1195.001
- Server Software Component: IIS ComponentsT1505.004
- Server Software Component: Terminal Services DLLT1505.005
- Hijack Execution Flow: Dynamic Linker HijackingT1574.006
- Hijack Execution Flow: KernelCallbackTableT1574.013
- Reflective Code LoadingT1620
Анализ Noroxi
Анализа Noroxi для этой записи пока нет
Мы не пишем анализ вручную для всех 385 000+ уязвимостей; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.
Мы используем этот продукт, нужна помощьЖурнал изменений
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
- www.oracle.com/technetwork/security-advisory/cpuoct2018-4428296.html
- lists.debian.org/debian-lts-announce/2021/04/msg00022.html
- pivotal.io/security/cve-2018-11040
- www.oracle.com/security-alerts/cpujan2020.html
- www.oracle.com/security-alerts/cpujul2020.html
- www.oracle.com/security-alerts/cpuoct2021.html
- www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html
- www.oracle.com/technetwork/security-advisory/cpujan2019-5072801.html
- www.oracle.com/technetwork/security-advisory/cpujul2019-5072835.html
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.