发布日期：2011-09-09
更新日期：2011-09-09

受影响系统：

SpringSource Spring Framework 3.x
SpringSource Spring Framework 2.x

不受影响系统：

SpringSource Spring Framework 3.0.6
SpringSource Spring Framework 2.5.7.SR02
SpringSource Spring Framework 2.5.6.SEC03

描述：

---

CVE(CAN) ID: CVE-2011-2732

Spring Security的前身是Acegi Security ，是Spring项目组中用来提供安全认证服务的框架。

Spring Security在logout功能的实现上存在CRLF注入漏洞，攻击者可利用此漏洞通过spring-security-redirect参数注入任意HTTP标头，并执行HTTP响应分离攻击。

<*来源：Stefano Di Paola （stefano@dipaola.wisec.it）
        Rob Winch
  
  链接：http://www.securityfocus.com/archive/1/519594
        http://www.cnvd.org.cn/vulnerability/CNVD-2011-07226
        http://support.springsource.com/security/cve-2011-2732
*>

建议：

---

厂商补丁：

SpringSource
------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.springsource.com/

浏览次数：1756
严重程度：0（网友投票）