Spring 開発チームによって、Spring Framework の XML External Entity（XXE）インジェクション（CVE-2013-4152）の修正が不完全であったことが判明しました。

Spring MVC の SourceHttpMessageConverter はユーザー提供の XML も処理しますが、XML 外部エンティティを無効化せず、当該エンティティを無効化するオプションも提供しませんでした。SourceHttpMessageConverter が、XML 外部エンティティ処理をコントロールするためのオプションを提供するように変更され、その処理はデフォルトで無効化されるようになりました。

また Jon Passki 氏は、潜在的な XSS 脆弱性を発見しました：JavaScriptUtils.javaScriptEscape() メソッドが、JS 一重引用符付き文字列、JS 二重引用符付き文字列、または HTML スクリプトデータコンテキスト内で影響を受けやすい全ての文字をエスケープしませんでした。ほとんどの場合、これは悪用できない解析エラーになりますが、場合によっては XSS 脆弱性につながる可能性があります。

検出

Debian DSA-2857-1：libspring-java - いくつかの脆弱性

medium Nessus プラグイン ID 72412

変更ログが見つかりません