springboot 修复 Spring Framework 特定条件下目录遍历漏洞（CVE-2024-38816）
一、漏洞描述
Spring框架是 Java 平台的一个开源的全栈应用程序框架和控制反转容器实现。2024年9月，Spring官方发布公告披露 CVE-2024-38816 Spring Framework 特定条件下目录遍历漏洞。当同时满足使用 RouterFunctions 和 FileSystemResource 来处理和提供静态文件 时，攻击者可构造恶意请求遍历读取系统上的文件。
影响范围
Spring Framework 5.3.0 - 5.3.39
Spring Framework 6.0.0 - 6.0.23
Spring Framework 6.1.0 - 6.1.12
其他更老或者官方已不支持的版本
安全版本
Spring Framework 5.3.40
Spring Framework 6.0.24
Spring Framework 6.1.13
二、解决建议
1、建议更新至最新版本。
2、排查代码中是否有类似使用，结合实际情况可确认是否实际受影响。
springboot2.x的用户请注意：
安全版本Spring Framework 5.3.40为企业版，未免费开放使用！
安全版本Spring Framework 5.3.40为企业版，未免费开放使用！
安全版本Spring Framework 5.3.40为企业版，未免费开放使用！
因此，springboot2.x的用户只能升级到springboot3.x最新版本（哭晕在厕所），这是一项大工程，需改修改的东西很多，不过小编已经踩过坑了，需要升级的用户请参考小编的经验总结：
https://blog.csdn.net/LDY1016/article/details/136499836?spm=1001.2014.3001.5501安全版本6.0.24 和 6.1.13 是springboot3.x使用的版本，springboot3.x的用户只需要将springboot升级到最新版本即可，官方已发布最新版本，如下图所示，springboot3.2以下版本已不再提供更新维护。
祝大家升级顺利！
原文地址：https://blog.csdn.net/LDY1016/article/details/142908982
免责声明：本站文章内容转载自网络资源，如本站内容侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！