一、背景介绍
近日，市委网信办技术支撑单位监测发现Spring Security身份认证绕过漏洞（CVE-2022-22978）。
1.1漏洞描述
Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。
当Spring Security中使用 RegexRequestMatcher 进行权限配置，且规则中使用带点号(.)的正则表达式时，未经授权的远程攻击者可通过构造恶意数据包绕过身份认证，导致配置的权限验证失效。
1.2 漏洞编号
CVE-2022-22978
1.3 漏洞等级
高危
二、修复建议
2.1 受影响版本
Spring Security 5.5.x < 5.5.7
Spring Security 5.6.x < 5.6.4
Spring Security 其他低版本同样受影响
2.2修复建议
目前，官方已发布可更新版本，建议用户及时更新：
Spring Security 5.5.x升级至5.5.7 ：https://github.com/spring-projects/spring-security/releases/tag/5.5.7
Spring Security 5.6.x升级至5.6.4 ：https://github.com/spring-projects/spring-security/releases/tag/5.6.4