| 漏洞類型 | 反序列化 | 發(fā)現(xiàn)時間 | 2023-08-24 | 漏洞等級 | 中危 |
| MPS編號 | MPS-fed8-ocuv | CVE編號 | CVE-2023-34040 | 漏洞影響廣度 | 小 |
漏洞危害
| OSCS 描述 |
|
Spring Kafka?是 Spring Framework 生態(tài)系統(tǒng)中的一個模塊，用于簡化在 Spring 應(yīng)用程序中集成 Apache Kafka 的過程，記錄(record)指 Kafka 消息中的一條記錄。 受影響版本中默認(rèn)未對記錄配置 ErrorHandlingDeserializer，當(dāng)用戶將容器屬性 checkDeserExWhenKeyNull 或 checkDeserExWhenValueNull 設(shè)置為 true(默認(rèn)未false)，并且允許不受信任的源發(fā)布到 Kafka 主題中時，攻擊者可將惡意 payload 注入到 Kafka 主題中，當(dāng)反序列化記錄頭時遠(yuǎn)程執(zhí)行任意代碼。 參考鏈接：https://www.oscs1024.com/hd/MPS-fed8-ocuv |
| Spring Security Advisories 描述 |
| 在 Apache Kafka 3.0.9 及更早版本以及 2.9.10 及更早版本的 Spring 中，存在可能的反序列化攻擊向量，但前提是應(yīng)用了異常配置。攻擊者必須在反序列化異常記錄標(biāo)頭之一中構(gòu)造惡意序列化對象。 參考鏈接：https://spring.io/security/cve-2023-34040 |
影響范圍及處置方案
OSCS?平臺影響范圍和處置方案
| 影響范圍 | 處置方式 | 處置方法 |
| org.springframework.kafka:spring-kafka [2.8.1, 2.9.11) | 更新 | 升級org.springframework.kafka:spring-kafka到 2.9.11、3.0.10 或更高版本 |
| 緩解措施 | 為記錄的鍵或值配置 ErrorHandlingDeserializer； 不使用 ErrorHandlingDeserializers 時，勿設(shè)置容器屬性 checkDeserExWhenKeyNull 或 checkDeserExWhenValueNull 設(shè)置為 true |
|
| 補(bǔ)丁 | 官方已發(fā)布補(bǔ)?。篽ttps://github.com/spring-projects/spring-kafka/commit/ddd1a96561e70599d8332b0907ec00df930d324b | |
| org.springframework.kafka:spring-kafka [3.0.0, 3.0.10) | 更新 | 升級org.springframework.kafka:spring-kafka到 2.9.11、3.0.10 或更高版本 |
| 參考鏈接：https://www.oscs1024.com/hd/MPS-fed8-ocuv | ||
Spring Security Advisories?平臺影響范圍和處置方案
| 影響范圍 | 處置方式 | 處置方法 |
| Spring for Apache Kafka 2.8.1 to 2.9.10 | 更新 | 升級 Spring for Apache Kafka 到2.9.11或更高版本 |
| 緩解措施 | 2.8.x and 2.9.x users should upgrade to 2.9.11 | |
| Spring for Apache Kafka 3.0.0 to 3.0.9 | 更新 | 升級 Spring for Apache Kafka 到3.0.10 |
| 緩解措施 | 3.0.x users should upgrade to 3.0.10 | |
| 參考鏈接：https://spring.io/security/cve-2023-34040 | ||
排查方式
| 方式1：使用漏洞檢測CLI工具來排查 使用文檔：https://www.murphysec.com/docs/faqs/integration/cli.html |
| 方式2：使用漏洞檢測IDEA插件排查 使用文檔：https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html |
| 方式3：接入GitLab進(jìn)行漏洞檢測排查 使用文檔：https://www.murphysec.com/docs/faqs/integration/gitlab.html |
| 更多排查方式：https://www.murphysec.com/docs/faqs/integration/ |
關(guān)于墨知
墨知是國內(nèi)首個專注軟件供應(yīng)鏈安全領(lǐng)域的技術(shù)社區(qū)，社區(qū)致力于為國內(nèi)數(shù)百萬技術(shù)人員提供全方位的軟件供應(yīng)鏈安全專業(yè)知識內(nèi)容，包括軟件供應(yīng)鏈安全技術(shù)、漏洞情報、開源組件安全、SBOM、軟件成分分析（SCA）、開源許可證合規(guī)等前沿技術(shù)及最佳實踐。
墨知主要內(nèi)容分類：
- 漏洞分析：漏洞_墨知 (oscs1024.com)
- 投毒分析：投毒分析_墨知 (oscs1024.com)
- 行業(yè)動態(tài)：行業(yè)動態(tài)_墨知 (oscs1024.com)
- 行業(yè)研究：行業(yè)研究_墨知 (oscs1024.com)
- 工具推薦：工具推薦_墨知 (oscs1024.com)
- 最佳實踐：最佳實踐_墨知 (oscs1024.com)
- 技術(shù)科普：技術(shù)科普_墨知 (oscs1024.com)
墨知通過促進(jìn)知識共享、技術(shù)研究和合作交流，幫助組織和個人提高軟件供應(yīng)鏈的安全性，減少供應(yīng)鏈攻擊的風(fēng)險，并保護(hù)軟件生態(tài)系統(tǒng)的整體安全。
進(jìn)入社區(qū)：https://zhi.oscs1024.com/文章來源：http://www.zghlxwxcb.cn/news/detail-672288.html
原文來自：https://zhi.oscs1024.com/5170.html文章來源地址http://www.zghlxwxcb.cn/news/detail-672288.html
到了這里，關(guān)于【中?！縎pring Kafka 反序列化漏洞 (CVE-2023-34040)的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
