企业安全Spring框架曝高危漏洞，企业Java系统面临认证绕过与DoS攻击风险

FreeBuf

2026年6月10日 18:30
上海

在小说阅读器读本章

去阅读

Part01

企业级Java集群部署面临多重威胁

负责Java云生态系统的企业开发团队发布了关键软件更新。此次更新修复了影响多个核心组件的Spring框架高危安全漏洞，这些软件缺陷可能导致企业架构面临未经授权的资源窃取或服务崩溃风险。由于未打补丁的应用程序存在严重身份验证缺陷，开发团队必须立即采取修补措施。更新相关依赖项可确保企业环境获得完整的安全防护。

Part02

高危LDAP认证绕过漏洞威胁目录安全

最严重的漏洞（CVE-2026-41720）存在于身份目录连接模块中，该漏洞导致LDAP验证逻辑存在认证绕过风险。认证框架无法正确拒绝包含未验证参数的连接请求，具体表现为系统未阻止使用真实用户名搭配空密码或null值的凭据组合。攻击者可借此无需提供有效验证密钥即可访问受保护的企业目录资产。

Part03

WebFlux组件严重拒绝服务漏洞修复

新版维护分支修复了响应式处理核心中的严重缺陷。其中CVE-2026-41840涉及WebFlux架构中的多部分文件解析漏洞，恶意构造的multipart请求会导致严重内存泄漏，彻底破坏主机稳定性。另一漏洞CVE-2026-41842则会在处理版本化Web资源时形成并行威胁循环，攻击者通过发送慢速请求持续占用服务器连接，最终导致平台完全拒绝服务。

Part04

企业网络修复方案实施要点

开发团队同时更新了共享资源缓存逻辑以阻断信息泄露漏洞（CVE-2026-41841），该缺陷允许未授权用户从安全存储库截获缓存静态资产。安全团队还需检查子域配置以防止会话固定攻击（CVE-2026-41839），强化cookie保护仍是现代后端防护架构的重要环节。

企业需立即将核心Web框架升级至7.0.8、6.2.19或6.1.28版本以消除这些Spring框架安全威胁，并运行自动化回归测试确保外围端点能有效抵御外部入侵。

参考来源：

Spring Framework Security Vulnerabilities Addressed in Critical Maintenance Updates

https://securityonline.info/spring-framework-security-vulnerabilities/

推荐阅读

电报讨论