近日，我司监测到Spring发布安全公告，修复了2个存在于Spring Security中的安全漏洞。

Spring Security 是基于 Spring 的一个提供身份验证、授权和防止常见攻击的框架。

漏洞详情如下：

1.CVE-2022-31690 spring-security-oauth2-client 权限提升漏洞

风险等级：高危

漏洞类型：权限提升

漏洞简介：攻击者可以修改客户端通过浏览器向授权服务器发出的请求，如果授权服务器在后续使用包含空范围列表的‘OAuth2 Access Token Response’响应来获取访问token，攻击者可以获得权限提升，以特权身份执行恶意代码。

2.CVE-2022-31692 Spring Security 绕过授权漏洞

风险等级：高危

漏洞类型：访问控制绕过

漏洞简介：攻击者可以通过FORWARD或 INCLUDE调度绕过授权规则的影响。当满足以下所有条件时，应用程序会受到漏洞影响：

• 应用程序期望 Spring Security 应用安全性来 forward 和 include 调度程序类型。
• 应用程序手动或通过 authorizeHttpRequests 方法使用 AuthorizationFilter。
• 应用程序配置 FilterChainProxy 以应用 forward 和/或 include 请求。
• 应用程序将请求 forward / include 到更高权限的安全端点。
• 应用程序通过 authorizeHttpRequests().shouldFilterAllDispatcherTypes(true) 配置 Spring Security 以应用于每个调度程序类型。

影响版本:

• 5.6 <= Spring Security < 5.6.9
• 5.7 <= Spring Security < 5.7.5

安全版本:

• Spring Security >= 5.6.9
• Spring Security >= 5.7.5

修复建议：

官方已经针对漏洞发布了版本更新，下载地址如下：

https://github.com/spring-projects/spring-security/releases