【中危】Spring Kafka 反序列化漏洞 (CVE-2023-34040)
原文中文，约2500字，阅读约需6分钟。
📝
内容提要
Spring Kafka存在反序列化漏洞，攻击者可通过恶意payload注入Kafka主题，远程执行任意代码。解决方法为更新升级Spring Kafka到2.9.11、3.0.10或更高版本，或配置ErrorHandlingDeserializer。Spring Security Advisories也存在类似漏洞，需升级到2.9.11或3.0.10及更高版本。
🎯
关键要点
-
Spring Kafka存在反序列化漏洞，攻击者可通过恶意payload注入Kafka主题，远程执行任意代码。
-
解决方法为更新升级Spring Kafka到2.9.11、3.0.10或更高版本，或配置ErrorHandlingDeserializer。
-
Spring Security Advisories也存在类似漏洞，需升级到2.9.11或3.0.10及更高版本。
-
漏洞发现时间为2023-08-24，漏洞等级为中危，CVE编号为CVE-2023-34040。
-
受影响版本中默认未对记录配置ErrorHandlingDeserializer，攻击者可利用此漏洞。
-
建议用户勿将容器属性checkDeserExWhenKeyNull或checkDeserExWhenValueNull设置为true。
-
提供了多种排查方式，包括使用CLI工具、IDEA插件和接入GitLab进行漏洞检测。
-
墨知是专注软件供应链安全的技术社区，致力于提供相关专业知识和最佳实践。
🏷️
