CVE-2020-5410 | VMware Spring Cloud Config目录遍历缝隙公告

颁布功夫 2020-06-02

0x00 缝隙概述


CVE   ID

CVE-2020-5410

时    间

2020-06-02

类    型

DT

等    级

高危

远程利用

是

影响领域

VMware Spring Cloud Config

2.2.0-2.2.2、2.1.0-2.1.8和不再受支持的旧版本


0x01 缝隙详情


VMware Spring Cloud Config是美国威睿（VMware）公司的一套散布式系统的配置治理解决规划。该产品重要为散布式系统中的表部配置提供服务器和客户端支持。
近日VMware官方颁布公告，建复了一个VMware Spring Cloud Config中的目录遍历缝隙（CVE-2020-5410）。该缝隙源于VMware Spring Cloud Config 2.2.0-2.2.2版本、2.1.0-2.1.8版本和不再受支持的旧版本允许利用法式通过spring-cloud-config-server�？樘峁┧烈馀渲梦募�，使攻击者能够利用精心机关的URL进行肆意文件读取。


0x02 措置建议


官方已颁布最新版本建复了此缝隙，用户应尽快升级到VMware Spring Cloud Config 2.2.3或2.1.9版本，其中不再支持的旧版本应尽快升级至可支持的不受该缝隙影响的版本。下载地址：
https://github.com/spring-cloud/spring-cloud-config/releases
一时措施：将spring-cloud-config-server搁置在内网中，并且使用Spring Security对其进行� ；�，使得只有内部网络接见权限的用户和拥有正确身份验证的用户能力进行接见。


0x03 有关新闻

https://spring.io/blog/2020/06/01/spring-cloud-greenwich-sr6-hoxton-sr5-and-2020-0-0-m2-aka-ilford-are-available

0x04 参考链接


https://tanzu.vmware.com/security/cve-2020-5410

0x05 功夫线


2020-06-01 VMware官方颁布公告
2020-06-02 VSRC颁布缝隙公告