ВО ФРЕЙМВОРКЕ SPRING FRAMEWORK ОБНАРУЖЕНА КРИТИЧЕСКАЯ УЯЗВИМОСТЬ

BAHORGI DAVRDA MUHIM ZAIFLIK ANIQLANDI

Bu zaiflik masofaviy hujumchiga platformaga asoslangan dasturda ixtiyoriy kodni bajarish imkonini beradi.

Java’da biznes ilovalarini ishlab chiqish uchun mashhur bo’lgan Spring Framework tizimida bir nechta zaifliklar, jumladan, bitta muhim zaiflik aniqlandi. Zaifliklar Spring Framework 5.0 – 5.0.4 va 4.3 – 4.3.14 versiyalariga ta’sir qiladi.

CVE-2018-1270 deb aniqlangan muammo masofaviy hujumchiga platformaga asoslangan ilovada maxsus tayyorlangan xabarni yuborish orqali o’zboshimchalik bilan kodni bajarishga imkon beradi. Pivotal tomonidan e’lon qilingan ogohlantirishga ko’ra, «xabarni autentifikatsiya qilish va avtorizatsiya qilish mexanizmlaridan foydalanish zaiflikning ilova foydalanuvchilariga ta’sirini cheklashi mumkin».

Ikkinchi zaiflik (CVE-2018-1271) Model-View-Controller (MVC) kontrolleriga ta’sir qiladi. Bu muammo tajovuzkorlarga Windows fayl tizimidan kataloglarni aylanib chiqish hujumlarini amalga oshirish va cheklangan papkalarga kirish imkonini beradi. Ushbu zaiflikdan foydalanish, agar Windows kontentni yetkazib berish uchun ishlatilmasa, mumkin emas. Bundan tashqari, fayl tizimidagi fayllardan foydalanmaslik yoki Tomcat/WildFly server sifatida foydalanish orqali muammoning oldini olish mumkin.

Pivotal allaqachon yuqorida tavsiflangan muammolarni hal qiluvchi Spring Framework 5.0.5 va 4.3.15 uchun yangilanishlarni, shuningdek, Spring Frameworkning yamalgan versiyalariga mos keladigan Spring Boot 2.0.1 va 1.5.11 ni chiqardi. Ishlab chiquvchilar va administratorlarga yangilanishlarni iloji boricha tezroq o’rnatish tavsiya etiladi.

Spring Framework (yoki qisqacha Spring) Java platformasi uchun universal ochiq kodli freymvorkdir. U barcha platformalarda zamonaviy Java biznes ilovalari uchun keng qamrovli ishlab chiqish va konfiguratsiya modelini taqdim etadi.