[13]Spring Cloud Data Flow 任意文件写入漏洞CVE-2024-22263-小百科

高危 Spring Cloud Data Flow 任意文件写入漏洞（CVE-2024-22263）

CVE编号

CVE-2024-22263

利用情况

POC 已公开

补丁情况

官方补丁

披露时间

2024-06-19

漏洞描述

Spring Cloud Data Flow（SCDF）是一个基于微服务的工具包，用于在 Cloud Foundry 和 Kubernetes 中构建流式和批量数据处理管道。在受影响版本中，Skipper Server在接收上传请求时对zip文件中的路径校验不严，具有 Skipper Server API 访问权限的攻击者可以通过上传请求将任意文件写入文件系统中的任意位置，从而获得服务器权限。

解决建议

升级 Spring Cloud Skipper 至 2.11.3 及以上版本

参考链接
https://spring.io/security/cve-2024-22263

阿里云评分

8.9

攻击路径

远程
攻击复杂度

容易
权限要求

无需权限
影响范围

全局影响
EXP成熟度

POC 已公开
补丁情况

官方补丁
数据保密性

数据泄露
数据完整性

无影响
服务器危害

服务器失陷
全网数量

N/A

CWE-ID	漏洞类型

[来源: 阿里云]

[13]Spring Cloud Data Flow 任意文件写入漏洞CVE-2024-22263 繁體

高危 Spring Cloud Data Flow 任意文件写入漏洞（CVE-2024-22263）

漏洞描述

解决建议

参考链接

[13]Spring Cloud Data Flow 任意文件写入漏洞CVE-2024-22263 ^繁體