Spring 框架，Spring Data Commons 组件 远程代码执行漏洞

---

2018年4月11日，阿里云云盾应急响应中心监测到Spring框架存在一系列漏洞。

1.Spring 框架 5.0-5.0.4，4.3 - 4.3.15 和更老的不被支持的版本中存在远程代码执行漏洞

允许应用通过Spring-Messaging模块搭建一个不落盘的STOMP消息中介，并在Websocket端点客户端上开启STOMP（Simple Text-Oriented Messaging Protocol) 消息服务。恶意的用户/攻击者可以通过制作特殊构建的消息发送到服务端造成远程代码执行。

2.Spring Data Commons 组件 1.13-1.13.10，2.0-2.0.5 和更老的不被支持的版本中存在一个属性绑定的漏洞

该漏洞是由对特殊元素的不当处理造成的，未经身份验证的远程恶意用户/攻击者可以通过对Spring Data REST支撑的HTTP服务发送特殊构造的请求或者使用Spring Data的基于投射的请求载荷绑定来造成远程代码执行。