发布日期：2011-09-09
更新日期：2011-09-09

受影响系统：

SpringSource Spring Framework 3.x
SpringSource Spring Framework 2.x

不受影响系统：

SpringSource Spring Framework 3.0.6
SpringSource Spring Framework 2.5.7.SR02
SpringSource Spring Framework 2.5.6.SEC03

描述：

---

CVE ID: CVE-2011-2894

Spring Framework是一个开源的Java／Java EE全功能栈（full-stack）的应用程序框架， 以Apache许可证形式发布，也有.NET平台上的移植版本。Spring Security的前身是Acegi Security ，是Spring项目组中用来提供安全认证服务的框架。

Spring Framework和Spring Security在序列化的实现上存在远程漏洞，远程攻击者可利用此漏洞绕过安全限制。

在反序列化远程客户端可疑源对象时存在漏洞，恶意客户端可通过序列化代理而非指定类实例或利用远程服务披露的内部AOP接口，向服务器注入不可期行为。

<*来源：Stefano Di Paola （stefano@dipaola.wisec.it）
        Wouter Coekaerts
  
  链接：http://www.securityfocus.com/archive/1/519593
        http://www.springsource.com/security/cve-2011-2894
*>

建议：

---

厂商补丁：

SpringSource
------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.springsource.com/

浏览次数：2442
严重程度：0（网友投票）