Apache CXF Fediz Spring插件跨站请求伪造漏洞

CVE编号

CVE-2017-12631

利用情况

暂无

补丁情况

N/A

披露时间

2017-12-01

漏洞描述

Apache CXF是美国阿帕奇（Apache）软件基金会的一个开源的Web服务框架。该框架支持多种Web服务标准、多种前端编程API等。Apache CXF Fediz是其中的一个子项目，主要用于提供身份验证。Spring 2、Spring 3和Spring 4都是使用在其中的Web开发框架。
Apache CXF Fediz中的Spring 2、Spring 3和Spring 4插件存在跨站请求伪造漏洞。远程攻击者利用该漏洞创建安全的上下文。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
http://cxf.apache.org/security-advisories.data/CVE-2017-12631.txt.asc

参考链接
http://cxf.547215.n5.nabble.com/Apache-CXF-Fediz-1-4-3-and-1-3-3-released-wit...
http://www.securityfocus.com/bid/102127
http://www.securitytracker.com/id/1040487
https://lists.apache.org/thread.html/r36e44ffc1a9b365327df62cdfaabe85b9a5637d...
https://lists.apache.org/thread.html/rc774278135816e7afc943dc9fc78eb0764f2c84...
https://lists.apache.org/thread.html/rd49aabd984ed540c8ff7916d4d79405f3fa311d...
https://lists.apache.org/thread.html/rec7160382badd3ef4ad017a22f64a266c7188b9...
https://lists.apache.org/thread.html/rfb87e0bf3995e7d560afeed750fac9329ff5f1a...
https://lists.apache.org/thread.html/rff42cfa5e7d75b7c1af0e37589140a8f1999e57...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	apache	cxf_fediz	*		Up to (excluding) 1.3.3
	运行在以下环境
	应用	apache	cxf_fediz	1.4.0	-
	运行在以下环境
	应用	apache	cxf_fediz	1.4.1	-
	运行在以下环境
	应用	apache	cxf_fediz	1.4.2	-

CVSS3评分 8.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 需要
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-352 跨站请求伪造（CSRF）