Spring框架安全漏洞导致授权绕过与注解检测失效
💡
原文中文，约1600字，阅读约需4分钟。
📝
内容提要
Spring Security和Spring框架存在两个高危漏洞（CVE-2025-41248和CVE-2025-41249），攻击者可绕过授权控制。建议升级至修复版本或在特定类中重新声明注解，以防止未授权访问。开发团队需检查泛型使用，确保方法级安全性。
🎯
关键要点
- Spring Security和Spring框架存在两个高危漏洞（CVE-2025-41248和CVE-2025-41249），攻击者可绕过授权控制。
- Spring Security 6.4.x/6.5.x会忽略方法级注解，导致授权绕过。
- Spring Framework 5.3.x/6.1.x/6.2.x存在注解检测失效问题。
- 建议升级至修复版本或在具体类中重新声明注解以防止未授权访问。
- CVE-2025-41248漏洞影响Spring Security 6.4.0-6.4.9和6.5.0-6.5.3版本，攻击者可绕过授权检查。
- CVE-2025-41249漏洞影响Spring Framework核心模块5.3.0-5.3.44、6.1.0-6.1.22和6.2.0-6.2.10版本，导致注解无法识别。
- 修复方案包括升级Spring Security至6.4.10或6.5.4，Spring Framework至5.3.45、6.1.23或6.2.11。
- 无法立即升级的用户可在具体类中直接声明所有安全方法以防止绕过。
- 开发团队应检查@EnableMethodSecurity与泛型的结合使用情况，确保正确检测注解方法。
- 安全团队需在CI/CD管道中优先处理这些升级，持续验证方法级安全性。
❓
延伸问答
Spring框架中有哪些高危漏洞？
Spring框架中存在两个高危漏洞，分别是CVE-2025-41248和CVE-2025-41249。
CVE-2025-41248漏洞的影响是什么？
CVE-2025-41248漏洞影响Spring Security 6.4.0-6.4.9和6.5.0-6.5.3版本，攻击者可绕过授权检查。
如何修复Spring框架中的安全漏洞？
建议将Spring Security升级至6.4.10或6.5.4，Spring Framework升级至5.3.45、6.1.23或6.2.11。
CVE-2025-41249漏洞的主要问题是什么？
CVE-2025-41249漏洞导致Spring Framework无法识别定义在泛型基类上的授权或审计相关方法注解。
开发团队在处理这些漏洞时应注意什么？
开发团队应检查@EnableMethodSecurity与泛型的结合使用情况，确保正确检测注解方法。
如果无法立即升级，应该采取什么措施？
无法立即升级的用户可在具体类中直接声明所有安全方法，以防止绕过。
➡️
