Spring Security @AuthorizeReturnObject 权限绕过漏洞

# Spring Security @AuthorizeReturnObject 权限绕过漏洞

- CVE编号: CVE-2024-38810
- 危害定级: 高危
- 漏洞标签: 发布预警 公开漏洞
- 披露日期: 2024-08-20
- 推送原因: 漏洞创建
- 信息来源: https://www.oscs1024.com/hd/MPS-e849-vn3x

### 漏洞描述
Spring Security 是Spring框架中用于处理认证和授权的子项目，@AuthorizeReturnObject 注解用于在方法返回结果后执行权限检查。
受影响版本中，当应用满足以下条件时，@PreFilter、@PostFilter、@PreAuthorize 或 @PostAuthorize 注解会失效，导致安全校验绕过：
1、使用 AnnotationAwareAspectJAutoProxyCreator 创建代理；
2、程序上下文中至少有一个 FactoryBean；
3、使用 @EnableMethodSecurity 启用方法级安全性控制；
4、使用 @AuthorizeReturnObject 注解或由 Spring Security 生成的 AuthorizationAdvisorProxyFactory @Bean 对对象进行封装。

### 修复方案
1. 将组件 org.springframework.security:spring-security-config 升级至 6.3.2 及以上版本


### 参考链接
1. https://www.oscs1024.com/hd/MPS-e849-vn3x
2. https://spring.io/security/cve-2024-38810
3. https://github.com/spring-projects/spring-security/commit/ae8e4d148ef471cc3d5c3421f3501c99d2602b15

### 开源检索
暂未找到

Oscs1024
OSCS | 开源软件供应链安全社区 | 让每一个开源项目变得更安全

OSCS（开源软件供应链安全社区）致力于提升开源生态安全，通过发起《开源生态安全守护计划》联合开源社区的开发者们一起构建一个开源软件供应链的生态治理环境。