本文主要是介绍spring boot 修复 Spring Framework URL解析不当漏洞（CVE-2024-22243），希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！
漏洞描述
当应用程序使用UriComponentsBuilder来解析外部提供的URL（如通过查询参数）并对解析的URL的主机执行验证检查时可能容易受到Open重定向攻击和SSRF攻击，导致网络钓鱼和内部网络探测等。
受影响产品或系统
6.1.0 <= Spring Framework <= 6.1.3
6.0.0 <= Spring Framework <= 6.0.16
5.3.0 <= Spring Framework <= 5.3.31
官方建议修复方案
Spring Framework 版本6.1.x 用户：升级到 6.1.3
Spring Framework 版本6.0.x 用户：升级到 6.0.16
Spring Framework 版本5.3.x 用户：升级到 5.3.31
其它已经不受官方支持的版本(5.1.x,5.2.x)同样受到影响，更新到受官方支持的安全版本。
那么springboot项目我们该怎么修复该漏洞呢？
查看 springboot的版本，只有最新的3.1.9和3.2.3 修复了该漏洞。
如果现有项目的大版本是3.x，直接升级即可，但是有些老项目还停留在2.x的版本，官方并没有针对2.x发布新版本，从2.x直接升级到3.x，代价又比较大。
一开始我们尝试直接替换spring-web的版本，但是只替换这一个包的话项目启动会报错，通过实践和反复尝试，我们对spring相关的jar包都进行了覆盖，这样可以保持springboot的版本号不变。具体覆盖的jar包如下：
<!-- spring-web 相关 begin --><dependency><groupId>org.springframework</groupId><artifactId>spring-web</artifactId><version>5.3.32</version></dependency><dependency><groupId>org.springframework</groupId><artifactId>spring-webmvc</artifactId><version>5.3.32</version></dependency><dependency><groupId>org.springframework</groupId><artifactId>spring-aop</artifactId><version>5.3.32</version></dependency><dependency><groupId>org.springframework</groupId><artifactId>spring-beans</artifactId><version>5.3.32</version></dependency><dependency><groupId>org.springframework</groupId><artifactId>spring-context</artifactId><version>5.3.32</version></dependency><dependency><groupId>org.springframework</groupId><artifactId>spring-context-support</artifactId><version>5.3.32</version></dependency><dependency><groupId>org.springframework</groupId><artifactId>spring-core</artifactId><version>5.3.32</version></dependency><dependency><groupId>org.springframework</groupId><artifactId>spring-expression</artifactId><version>5.3.32</version></dependency><dependency><groupId>org.springframework</groupId><artifactId>spring-jcl</artifactId><version>5.3.32</version></dependency><dependency><groupId>org.springframework</groupId><artifactId>spring-jdbc</artifactId><version>5.3.32</version></dependency><dependency><groupId>org.springframework</groupId><artifactId>spring-oxm</artifactId><version>5.3.32</version></dependency><dependency><groupId>org.springframework</groupId><artifactId>spring-tx</artifactId><version>5.3.32</version></dependency><!-- spring-web相关 end -->只需要将上述依赖添加到pom.xml文件中即可覆盖springboot默认的版本，替换后效果如下：
项目启动正常
如果启动后访问接口报错，需要更换跨域配置，将corsConfiguration.addAllowedOrigin("*")替换为corsConfiguration.addAllowedOriginPattern("*");
好了，上面的操作都完成后，漏洞就修复了，接下来有需要的话可以慢慢的升级到大版本！
这篇关于spring boot 修复 Spring Framework URL解析不当漏洞（CVE-2024-22243）的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！
