Spring两大漏洞可导致泄露敏感信息及安全防护绕过（CVE-2025-41253/41254）
内容提要
VMware Tanzu的Spring团队发布了两个漏洞修复方案，涉及Spring Cloud Gateway和Spring Framework。CVE-2025-41253可能导致敏感数据泄露，CVE-2025-41254允许攻击者绕过CSRF保护。受影响版本需及时升级或采取临时安全措施。
关键要点
-
VMware Tanzu的Spring团队发布了两项漏洞修复方案，涉及Spring Cloud Gateway和Spring Framework。
-
CVE-2025-41253漏洞可能导致敏感数据泄露，影响Spring Cloud Gateway Server Webflux。
-
CVE-2025-41254漏洞允许攻击者绕过CSRF保护，影响Spring Framework的STOMP over WebSocket功能。
-
受影响版本包括多个Spring开源版本及商业版本，建议用户及时升级或采取临时安全措施。
-
对于CVE-2025-41253，建议移除'gateway'或实施安全防护以防止敏感数据泄露。
-
CVE-2025-41254对实时应用构成威胁，包括在线聊天系统和金融仪表板等。
-
修复版本已发布，用户需手动缓解或升级至受支持版本。
延伸解读
漏洞影响范围
CVE-2025-41253和CVE-2025-41254漏洞影响多个Spring开源和商业版本，用户需特别关注自己使用的版本是否在受影响范围内。及时升级至修复版本是防止敏感信息泄露和安全绕过的关键措施。
临时安全措施
对于无法立即升级的用户，Spring团队建议采取临时措施，如移除'gateway'或实施安全防护。这些措施可以有效降低攻击风险，保护敏感数据不被泄露。
实时应用的风险
CVE-2025-41254漏洞对实时应用构成直接威胁，尤其是在线聊天和金融仪表板等依赖WebSocket的系统。开发者应评估其应用的安全性，并考虑实施额外的安全措施以防止未授权消息的发送。
延伸问答
CVE-2025-41253漏洞的影响是什么？
CVE-2025-41253漏洞可能导致敏感数据泄露，包括环境变量和系统属性。
如何防止CVE-2025-41253漏洞带来的风险？
建议移除'gateway'或对执行器端点实施安全防护，以防止敏感数据泄露。
CVE-2025-41254漏洞的主要风险是什么？
CVE-2025-41254漏洞允许攻击者绕过CSRF保护，可能导致未授权消息的发送。
哪些版本受到CVE-2025-41254漏洞的影响？
受影响版本包括6.2.0 – 6.2.11、6.1.0 – 6.1.23、6.0.x – 6.0.29和5.3.x – 5.3.44。
Spring团队对这两个漏洞发布了哪些修复版本？
修复版本包括4.3.2、4.2.6、4.1.12、3.1.12（CVE-2025-41253）和6.2.12、6.1.24、5.3.46（CVE-2025-41254）。
CVE-2025-41253和CVE-2025-41254的根本原因是什么？
CVE-2025-41253源于错误使用Spring表达式语言，而CVE-2025-41254则涉及WebSocket消息注入的安全漏洞。
