Vulnerabilidades de omisión de autenticación y denegación de servicios (DoS) en Spring Framework

21/03/2023 Noticias 0

Se ha reportado un nuevo aviso de seguridad sobre dos vulnerabilidades que afectan a Spring Framework, que permitirían a un atacante realizar omisión de autenticación y provocar denegación de servicios (DoS) en el sistema afectado. 

Las vulnerabilidades reportadas se componen de 1 (una) de severidad “Alta” y 1 (una) de severidad “Media”. Las mismas se detallan a continuación: 

  • CVE-2023-20860, de severidad “Alta”, con una puntuación asignada de 8.8. Esta vulnerabilidad se debe a una falla en la autenticación al utilizar un comodín doble sin prefijo «* *» en el patrón de configuración de Spring Security con mvcRequestMatcher de Spring Framework. Esto permitiría a un atacante remoto a través de la utilización de patrones de configuración, obtener acceso no autorizado al sistema afectado. 
  • CVE-2023-20861, de severidad “Media”, con una puntuación asignada de 5.3. Esta vulnerabilidad se debe a una falla en el control de datos de entrada en Spring Expression (SpEL) de Spring Framework. Esto permitiría a un atacante remoto crear una expresión SpEL especialmente diseñada y provocar denegación de servicios (DoS) en el sistema afectado. 

Las versiones afectadas son: 

  • Spring Framework, versiones 6.0.0 a 6.0.6. 
  • Spring Framework, versiones 5.3.0 a 5.3.25. 
  • Spring Framework, versiones 5.2.0.RELEASE a 5.2.22.RELEASE. 
  • Versiones no soportadas. 

Recomendamos acceder a las actualizaciones correspondientes proporcionados por el fabricante en los siguientes enlaces: 

Referencias: 

Compartir: