Spring/Spring-Security是否受CVE-2022-21449影响？

Question

是否存在CVE-2022-21449可能导致黑客/滥用的情况？

我在spring security和java的github repo上展示了这一点。安全性被广泛使用，但我不知道库中的使用如何导致安全缺陷。

Answer 1

这不是Spring/Spring Security本身的漏洞。该漏洞存在于JVM本身。具体来说，它是ECDSA（椭圆曲线数字签名算法）签名的签名检查。

为了使这成为基于Spring的应用程序中的一个问题，应用程序需要依赖ECDSA验证来实现其安全的某些方面。签名验证的常见用途是当您的应用程序从不受信任的第三方获取代码并在安全沙盒中运行时。攻击者可以注入带有伪造签名的JAR。

另一种可能性是，如果您的应用程序或Spring本身出于某种目的使用ECDSA签名本身。

但你可以说这是没有意义的。如果您只是升级Spring应用程序正在使用的Java安装，那么您不需要深入研究它们是否（间接地）易受攻击。