西部数码网站备案核验单,专业网站模仿,灰色行业推广,cms网站网络地址图片文章目录一、漏洞详情二、影响范围三、修复建议3.1. 补丁升级3.2. 缓解措施一、漏洞详情
Spring Data for MongoDB是Spring Data项目的一部分#xff0c;该项目旨在为新的数据存储提供熟悉和一致的基于Spring的编程模型#xff0c;同时保留存储的特定特征和功能。
VMware发…
文章目录一、漏洞详情二、影响范围三、修复建议3.1. 补丁升级3.2. 缓解措施一、漏洞详情
Spring Data for MongoDB是Spring Data项目的一部分该项目旨在为新的数据存储提供熟悉和一致的基于Spring的编程模型同时保留存储的特定特征和功能。
VMware发布安全公告修复了Spring Data MongoDB中的一个SpEL表达式注入漏洞CVE-2022-22980。
Spring Data MongoDB应用程序在对包含查询参数占位符的SpEL表达式使用Query或Aggregation注解的查询方法进行值绑定时如果输入未被过滤则容易受到SpEL注入攻击。
建议受影响用户做好资产自查以及预防工作以免遭受黑客攻击。
二、影响范围
Spring Data MongoDB 3.4.0
3.3.0 Spring Data MongoDB 3.3.4
旧的、不受支持的版本也会受到影响
三、修复建议
目前VMware官方已发布漏洞修复补丁建议用户尽快下载安装补丁程序或采取缓解措施。
3.1. 补丁升级
建议尽快升级至官方修护版本
Spring Data MongoDB 3.4.1版本
https://github.com/spring-projects/spring-data-mongodb/releases/tag/3.4.1
Spring Data MongoDB 3.3.5版本 https://github.com/spring-projects/spring-data-mongodb/releases/tag/3.3.5
3.2. 缓解措施
1如果您的应用程序需要使用由用户输入控制的SpEL表达式那么使用数组形式语法“[0]”引入SpEL参数而不是“?0”形式
2实现自定义存储库方法详见https://docs.spring.io/spring-data/mongodb/docs/current/reference/html/#repositories.single-repository-behavior
3通过BeanPostProcessor和受限的QueryMethodEvaluationContextProvider重新配置存储工厂bean
4在调用查询方法时过滤用户输入内容。
