Spring Framework多个XML外部实体注入漏洞（CVE-2014-0054）

发布日期：2014-03-12
更新日期：2014-03-14受影响系统：
SpringSource Spring Framework 4.x
SpringSource Spring Framework 3.x
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 66148
CVE（CAN） ID: CVE-2014-0054Spring Framework是一个开源的Java／Java EE全功能栈（full-stack）的应用程序框架，以Apache许可证形式发布，也有.NET平台上的移植版本。Spring MVC 3.0.0-3.2.7、Spring MVC 4.0.0-4.0.1在处理XML数据时Jaxb2RootElementHttpMessageConverter类在实现上存在错误，可导致泄漏某些本地文件的内容。<*来源：Spase Markovski

链接：http://secunia.com/advisories/57391/
*>建议：
--------------------------------------------------------------------------------
厂商补丁：SpringSource
------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：http://support.springsource.com/security/
Spring:
http://www.gopivotal.com/security/CVE-2014-0054参考：
Spase Markovski:
https://jira.spring.io/browse/SPR-11376Spring 的详细介绍：请点这里
Spring 的下载地址：请点这里相关阅读：Spring中如何配置Hibernate事务 http://www.linuxidc.com/Linux/2013-12/93681.htmStruts2整合Spring方法及原理 http://www.linuxidc.com/Linux/2013-12/93692.htm基于 Spring 设计并实现 RESTful Web Services http://www.linuxidc.com/Linux/2013-10/91974.htmSpring-3.2.4 + Quartz-2.2.0集成实例 http://www.linuxidc.com/Linux/2013-10/91524.htm使用 Spring 进行单元测试 http://www.linuxidc.com/Linux/2013-09/89913.htm运用Spring注解实现Netty服务器端UDP应用程序 http://www.linuxidc.com/Linux/2013-09/89780.htmSpring 3.x 企业应用开发实战 PDF完整高清扫描版+源代码 http://www.linuxidc.com/Linux/2013-10/91357.htmMozilla Firefox 释放后重利用远程代码执行漏洞Apple iOS及TV多个安全漏洞相关资讯 Spring Framework

Spring Framework 4.2.1 发布下载（09/02/2015 09:39:31）
Spring Framework 4.1.7 & 3.2.14 （07/01/2015 08:44:23）
Spring Framework 4.1 RC 发布下载（07/25/2014 08:33:21）

Spring Framework 4.2 RC3 发布下（07/16/2015 08:21:20）
Spring Framework 4.1.3 发布下载（12/10/2014 17:06:59）
Spring Framework多个XML实体引用（08/28/2013 19:36:33）

本文评论查看全部评论（0）

评论声明

尊重网上道德，遵守中华人民共和国的各项有关法律法规
承担一切因您的行为而直接或间接导致的民事或刑事法律责任