AG公司云
【误差通告】Spring Framework反射型文件下载误差 (CVE-2020-5421)
2020-09-21
综述
克日 ，VMware Tanzu宣布清静通告 ，宣布了一个保存于Spring Framework中的反射型文件下载（Reflected File Download,RFD）误差CVE-2020-5421。CVE-2020-5421 可通过jsessionid路径参数 ，绕过防御RFD攻击的�；�。先前针对RFD的防护是为应对 CVE-2015-5211 添加的。
攻击者通过向用户发送带有批处置惩罚剧本扩展名的URL ，使用户下载并执行文件 ，从而危害用户系统。
官方已宣布修复了误差的新版本。
Spring Framework是 Java 平台的一个开源全栈应用程序框架和控制反转容器实现 ，一样平常被直接称为 Spring。
参考链接：
https://tanzu.vmware.com/security/cve-2020-5421
受影响产品版本
Spring Framework 5.2.0 - 5.2.8
Spring Framework 5.1.0 - 5.1.17
Spring Framework 5.0.0 - 5.0.18
Spring Framework 4.3.0 - 4.3.28
以及其他已不受支持的版本
不受影响产品版本
Spring Framework 5.2.9
Spring Framework 5.1.18
Spring Framework 5.0.19
Spring Framework 4.3.29
解决计划
官方已宣布修复了误差的新版本 ，建议相关用户尽快升级举行防护。
下载链接：
https://github.com/spring-projects/spring-framework/releases
另外 ，针对 RFD 攻击 ，官方曾在 CVE-2015-5211 的通告中给出如下建议(https://tanzu.vmware.com/security/cve-2015-5211)：
1、 编码而不是转义JSON响应。详细操作详见 https://github.com/rwinch/spring-jackson-owasp。
2、 将后缀模式匹配设置为关闭或仅限于显式注册的后缀。
3、 设置内容协商时 ，将 "useJaf "和 "ignoreUknownPathExtension "属性设置为false ，这将导致未知扩展名的URL获得406响应。但请注重 ，若是URL原来会在最后处有一个点 ，就不要使用该项。
4、 在响应中添加 "X-Content-Type-Options: nosniff "头。
声 明
本清静通告仅用来形貌可能保存的清静问题 ，AG公司科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失 ，均由使用者自己认真 ，AG公司科技以及清静通告作者不为此肩负任何责任。AG公司科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告 ，必需包管此清静通告的完整性 ，包括版权声明等所有内容。未经AG公司科技允许 ，不得恣意修改或者增减此清静通告内容 ，不得以任何方法将其用于商业目的。
关于AG公司科技
AG公司（简称AG公司科技）建设于2000年4月 ，总部位于北京。在海内外设有30多个分支机构 ，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户 ，提供具有焦点竞争力的清静产品及解决计划 ，资助客户实现营业的清静顺畅运行。
基于多年的清静攻防研究 ，AG公司科技在网络及终端清静、互联网基础清静、合规及清静治理等领域 ，为客户提供入侵检测/防护、抗拒绝服务攻击、远程清静评估以及Web清静防护等产品以及专业清静服务。
AG公司于2014年1月29日起在深圳证券生意所创业板上市 ，股票简称：AG公司科技 ，股票代码：300369。
