Spring Framework vulnerable to denial of service

中 6.5CVE-2023-20863 · GHSA-wxqc-pxw9-g2p8 · 13/04/2023 公開 · 17/06/2026 更新

要点

CVE-2023-20863 は org.springframework:spring-expression, spring framework (vmware) に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.1%（全脆弱性の 66.2% より高い）。
対処：5.3.27, 6.0.8, 5.2.24.RELEASE, 5.2.24 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.springframework:spring-expression Maven	`≥ 5.3.0, < 5.3.27≥ 6.0.0, < 6.0.8< 5.2.24.RELEASE`	`5.3.276.0.85.2.24.RELEASE`
spring framework vmware	`≥ 5.2.0, < 5.2.24≥ 5.3.0, < 5.3.27≥ 6.0.0, < 6.0.8`	`5.2.245.3.276.0.8`

概要

In Spring Framework versions prior to 5.2.24.release+ , 5.3.27+ and 6.0.8+ , it is possible for a user to provide a specially crafted Spring Expression Language (SpEL) expression that may cause a denial-of-service (DoS) condition.

NVD の説明

In spring framework versions prior to 5.2.24 release+ ,5.3.27+ and 6.0.8+ , it is possible for a user to provide a specially crafted SpEL expression that may cause a denial-of-service (DoS) condition.