Pivotal多个产品远程代码执行漏洞(CVE-2017-8046)
发布日期:2017-09-27
更新日期:2017-09-30
受影响系统:
pivotal Spring Data REST < 2.5.12 2.6.7 3.0 RC3
pivotal Spring Boot < 2.0.0M4
pivotal Spring Data < Kay-RC3
不受影响系统:
pivotal Spring Boot 2.0.0.M4
描述:
BUGTRAQ ID: 100948
CVE(CAN) ID: CVE-2017-8046
Pivotal是一家位于美国加州的计算机软件公司。
Spring-data-rest服务器在处理PATCH请求时存在一个远程代码执行漏洞。攻击者可以构造恶意的PATCH请求并发送给spring-date-rest服务器,提交的JSON数据中存在SPEL表达式可以导致远程代码执行。
<*来源:Man Yue Mo (<mmo at semmle dot com> (lgtm.com / Semmle))
链接:https://pivotal.io/security/cve-2017-8046
*>
建议:
厂商补丁:
pivotal
-------
pivotal已经为此发布了一个安全公告(cve-2017-8046)以及相应补丁:
cve-2017-8046:RCE in PATCH requests in Spring Data REST
链接:https://pivotal.io/security/cve-2017-8046
本文永久更新链接地址:http://www.linuxidc.com/Linux/2017-09/147200.htm