Pivotal Spring Framework contains unsafe Java deserialization methods
Pivotal Spring Framework before 6.0.0 suffers from a potential remote code execution (RCE) issue if used for Java deserialization of untrusted data. Depending on how the library is implemented within a product, this issue may or not occur, and authentication may be required.
Maintainers recommend investigating alternative components or a potential mitigating control. Version 4.2.6 and 3.2.17 contain enhanced documentation advising users to take precautions against unsafe Java deserialization, version 5.3.0 deprecate the impacted classes and version 6.0.0 removed it entirely.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | org.springframework:spring-web | < 6.0.0 | 6.0.0 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2016-1000027
- https://github.com/spring-projects/spring-framework/issues/21680
- https://github.com/spring-projects/spring-framework/issues/24434
- https://github.com/spring-projects/spring-framework/issues/24434#issuecomment-1231625331
- https://github.com/spring-projects/spring-framework/issues/24434#issuecomment-579669626
- https://github.com/spring-projects/spring-framework/issues/24434#issuecomment-582313417
- https://github.com/spring-projects/spring-framework/issues/24434#issuecomment-744519525
- https://github.com/spring-projects/spring-framework/commit/2b051b8b321768a4cfef83077db65c6328ffd60f
- https://github.com/spring-projects/spring-framework/commit/5cbe90b2cd91b866a5a9586e460f311860e11cfa
- https://www.tenable.com/security/research/tra-2016-20
- https://support.contrastsecurity.com/hc/en-us/articles/4402400830612-Spring-web-Java-Deserialization-CVE-2016-1000027
- https://spring.io/blog/2022/05/11/spring-framework-5-3-20-and-5-2-22-available-now
- https://security.netapp.com/advisory/ntap-20230420-0009
- https://security-tracker.debian.org/tracker/CVE-2016-1000027
- https://jira.spring.io/browse/SPR-17143?redirect=false
- https://github.com/spring-projects/spring-framework
- https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2016-1000027
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Słabość (CWE)
CWE-502- Platforma
- Java / Kotlin (Maven)
- Paczka
org.springframework:spring-web- Ujawniono
- 24.05.2022
- Aktualizacja
- 11.10.2026 13:19
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-4wrc-f8pq-fpqp - CC BY 4.0
Historia podatności: org.springframework:spring-web
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 13
- Pierwsza → ostatnia
- 10.2018 06.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 1
- Wysoka 4
- Średnia 8
Ujawnienia w latach
- 2018: 2
- 2019: 0
- 2020: 0
- 2021: 0
- 2022: 4
- 2023: 0
- 2024: 5
- 2025: 1
- 2026: 1
-
Pivotal Spring Framework contains unsafe Java deserialization methods ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.