CVE:CVE-2011-2730
CNNVD:CNNVD-201109-126
Pivotal Software Pivotal Spring Framework是美国Pivotal Software公司的一套开源的Java、JavaEE应用程序框架。该框架可帮助开发人员构建高质量的应用。
VMware SpringSource Spring Framework 2.5.6.SEC03之前的版本、2.5.7.SR023、3.0.6之前的3.x版本中存在漏洞。该漏洞源于在容器支持表达式语言(EL)的情况下，程序会在标签中重复计算EL表达式。通过(a)spring:hasBindErrors标签中的(1)名字属性；(b)spring:bind或(c)spring:nestedpath标签中的(2)路径属性；(d)spring:message或(e)spring:theme标签中的(3)参数(4)代码(5)文本(6)定义变量(7)作用域或(8)消息属性；(f)spring:transform标签中的(9)定义变量(10)作用域或(11)值属性，远程攻击者利用该漏洞获取敏感信息。又名‘表达式语言注入’。
solution:Upgrade springsource spring_framework to a higher version than 2.5.7_sr01,3.0.5,2.5.0,2.5.0:rc1,2.5.0:rc2,2.5.1,2.5.2,2.5.3,2.5.4,2.5.5,2.5.6,2.5.7,3.0.0,3.0.1,3.0.2,3.0.3,3.0.4,and avoid the version (,2.5.7_sr01],(,3.0.5],2.5.0,2.5.0:rc1,2.5.0:rc2,2.5.1,2.5.2,2.5.3,2.5.4,2.5.5,2.5.6,2.5.7,3.0.0,3.0.1,3.0.2,3.0.3,3.0.4