CVE-2024-38816 漏洞

[Boranget]

nacos开发组你们好：
我们的项目使用了Nacos 2.4.2，今天进行漏洞扫描时扫到了漏洞 CVE-2024-38816，描述如下：

软件:spring 5.3.39
命中:["spring version less than equals 5.3.39"]
路径:C:\startup\nacos2.4.2\nacos\target\nacos-server.jar(BOOT-INF/lib/spring-core-5.3.39.jar)
扩展信息:{"jdk_version": ""}

我查看了最新版本的nacos所依赖的版本仍是5.3.39
望尽快修复。

[Bo-Qiu]

I'll fix it.

[Bo-Qiu]

https://enterprise.spring.io/projects/spring-framework/changelog/5.3.40

[Bo-Qiu]

https://spring.io/security/cve-2024-38816
5.3.40 [Enterprise Support Only]

[IvanWhisper]

大概什么时候能出补丁？

[Bo-Qiu]

大概什么时候能出补丁？

Spring 团队针对 5.3.X 大概率不会出开源版本的补丁了，目前提供的 5.3.40 是 [Enterprise Support Only] 的。

OSS 只修复了 6.1.�X 的。

目前可通过如下方式解决：
较旧、不受支持的版本的用户可以在其应用程序中启用 Spring Security 的防火墙，或者切换到使用 Tomcat 或 Jetty 作为 Web 服务器，因为它们会拒绝此类恶意请求。

FYI https://spring.io/security/cve-2024-38816

[KomachiSion]

看漏洞描述， nacos应该不受此漏洞的影响， nacos使用的是tomcat而不是webflux. 而且Spring并未发布此问题的社区版修复的。

因此暂时可能无法修复次问题。

后续Nacos 3.0 应该会升级成spring boot3的， 届时spring的漏洞应该都能清除。

[jaoyina]

大概什么时候能出补丁？

Spring 团队针对 5.3.X 大概率不会出开源版本的补丁了，目前提供的 5.3.40 是 [Enterprise Support Only] 的。

OSS 只修复了 6.1.�X 的。

目前可通过如下方式解决： 较旧、不受支持的版本的用户可以在其应用程序中启用 Spring Security 的防火墙，或者切换到使用 Tomcat 或 Jetty 作为 Web 服务器，因为它们会拒绝此类恶意请求。

FYI https://spring.io/security/cve-2024-38816

如果是用的springboot内置tomcat作为服务器的，是不是也不受影响？

[rock007]

如果是用的springboot内置tomcat作为服务器的，是不是也不受影响？

[KomachiSion]

spring 应该发布了 5.8.15， 欢迎提交PR 升级对应security 版本

[KomachiSion]

spring-security 已经升级到5.8.15了， 可能需要查看一下兼容性， nacos不怎么依赖spring-security，理论上没什么太大影响，但是还是希望社区同学多测试一下看看。