0x01 漏洞详情VMware Spring Cloud Config是美国威睿（VMware）公司的一套分布式系统的配置管理解决方案。该产品主要为分布式系统中的外部配置提供服务器和客户端支持。
近日VMware官方发布通告，修复了一个VMware Spring Cloud Config中的目录遍历漏洞（CVE-2020-5410）。该漏洞源于VMware Spring Cloud Config 2.2.0-2.2.2版本、2.1.0-2.1.8版本和不再受支持的旧版本允许应用程序通过spring-cloud-config-server模块提供任意配置文件，使攻击者可以利用精心构造的URL进行任意文件读取。

0x02 处置建议

官方已发布最新版本修复了此漏洞，用户应尽快升级到VMware Spring Cloud Config 2.2.3或2.1.9版本，其中不再支持的旧版本应尽快升级至可支持的不受该漏洞影响的版本。下载地址：
https://github.com/spring-cloud/spring-cloud-config/releases
临时措施：将spring-cloud-config-server放置在内网中，并且使用Spring Security对其进行保护，使得只有内部网络访问权限的用户和具有正确身份验证的用户才能进行访问。

0x03 相关新闻

https://spring.io/blog/2020/06/01/spring-cloud-greenwich-sr6-hoxton-sr5-and-2020-0-0-m2-aka-ilford-are-available

0x04 参考链接

https://tanzu.vmware.com/security/cve-2020-5410