一 漏洞概述

Spring Framework是一个Java/Java EE/.NET的分层应用程序框架。该框架基于Expert One-on-One Java EE Design and Development（ISBN 0-7645-4385-7）一文中的代码，并最初由Rod Johnson开发。Spring Framework提供了一个简易的开发方式，这种开发方式将避免那些可能致使底层代码变得繁杂混乱的大量属性文件和帮助类。

2020年9月17日，VMware发布安全公告，在Spring Framework版本5.2.0-5.2.8、5.1.0-5.1.17、5.0.0-5.0.18、4.3.0-4.3.28和较旧的不受支持的版本中，发现了一个存在于Spring Framework中的反射型文件下载（Reflected File Download,RFD）漏洞（CVE-2020-5421）。

CVE-2020-5421漏洞可通过jsessionid路径参数，绕过防御RFD攻击的保护。攻击者通过向用户发送带有批处理脚本扩展名的URL，使用户下载并执行文件，从而危害系统。

 

二 影响版本

Spring Framework

5.2.0 - 5.2.8

5.1.0 - 5.1.17

5.0.0 - 5.0.18

4.3.0 - 4.3.28

以及更早期的版本

 

三 复现过程

无

 

四 影响范围

根据 ZoomEye 网络空间搜索引擎对关键字"Spring Framework"进行搜索，共得到 4,168,179 条 IP 历史记录，集中分布在美国和中国。

 

五 修复建议

目前VMware官方已发布安全更新，建议将Spring Framework升级到新的版本：

    5.2.9

    5.1.18

    5.0.19

    4.3.29

下载链接：

https://github.com/spring-projects/spring-framework/releases

 

六 时间线

VMware官方发布通告时间：2020年9月17日

知道创宇发布漏洞情报时间：2020年9月22日

 

七 相关链接

https://tanzu.vmware.com/security/cve-2020-5421

ZoomEye 网络空间搜索引擎：

https://www.zoomeye.org/searchResult?q=Spring%20Framework