Spring
·
Spring Security和Spring Framework发布针对CVE-2025-41248和CVE-2025-41249的修复
内容提要
Spring Security和Spring Framework已发布针对CVE-2025-41248和CVE-2025-41249的修复，涉及无界泛型参数化超类型中的方法安全注解。Spring Security 6.4.10和6.5.4修复了CVE-2025-41248，Spring Framework 6.2.11修复了CVE-2025-41249。建议用户尽快升级到支持的版本。
关键要点
-
Spring Security和Spring Framework发布了针对CVE-2025-41248和CVE-2025-41249的修复。
-
CVE-2025-41248涉及Spring Security在参数化类型上的方法安全注解的授权绕过。
-
CVE-2025-41249涉及Spring Framework的注解检测漏洞。
-
这两个CVE报告涉及在无界泛型参数化超类型的类型层次结构中使用安全注解时可能遇到的漏洞。
-
Spring Security 6.4.10和6.5.4修复了CVE-2025-41248。
-
Spring Framework 6.2.11修复了CVE-2025-41249。
-
Spring Framework 5.3.x和6.1.x的开源支持已结束，但修复已应用于商业版本5.3.45和6.1.23。
-
建议非商业客户尽快升级到支持的开源版本。
-
商业客户可以使用Spring Boot Hotfix版本2.7.29.1、3.2.18.1和3.3.15.1。
延伸解读
漏洞影响分析
CVE-2025-41248和CVE-2025-41249的漏洞主要影响使用无界泛型参数化超类型的安全注解。这意味着在复杂的类型层次结构中，可能会出现授权绕过和注解检测问题，给应用程序的安全性带来风险。开发者应特别关注这些漏洞在实际应用中的表现，确保安全性不被削弱。
升级建议
由于Spring Framework 5.3.x和6.1.x的开源支持已结束，用户应尽快升级到支持的版本，以避免潜在的安全风险。商业客户可以使用最新的Hotfix版本，而非商业客户则应考虑尽快迁移到最新的开源版本，以确保获得安全修复和支持。
版本兼容性
在进行版本升级时，用户需注意不同版本之间的兼容性问题。特别是Spring Boot的Hotfix版本与Spring Framework的更新可能存在依赖关系，确保在升级过程中不会影响现有应用的稳定性和功能。
延伸问答
CVE-2025-41248和CVE-2025-41249分别是什么漏洞？
CVE-2025-41248是Spring Security在参数化类型上的方法安全注解的授权绕过漏洞，CVE-2025-41249是Spring Framework的注解检测漏洞。
哪些版本的Spring Security和Spring Framework修复了这些漏洞？
Spring Security 6.4.10和6.5.4修复了CVE-2025-41248，Spring Framework 6.2.11修复了CVE-2025-41249。
如果我使用的是Spring Framework 5.3.x或6.1.x，应该怎么做？
Spring Framework 5.3.x和6.1.x的开源支持已结束，建议尽快升级到支持的开源版本。
商业客户如何处理这些漏洞？
商业客户可以使用Spring Boot Hotfix版本2.7.29.1、3.2.18.1和3.3.15.1来处理这些漏洞。
这些漏洞对使用安全注解的开发者有什么影响？
这些漏洞可能导致在无界泛型参数化超类型的类型层次结构中使用安全注解时的授权绕过和注解检测问题。
如何获取Spring的商业版本修复？
商业版本的修复可以通过Spring商业工件库获取，需使用Spring企业订阅访问。
