CVE-2021-22112

Versões 5.2.x do Spring Security anteriores à 5.2.9.RELEASE

Versões 5.3.x do Spring Security anteriores à 5.3.8.RELEASE

Versões 5.4.x do Spring Security anteriores à 5.4.4

Versões antigas e sem suporte do Spring Security

O problema ocorre quando o SecurityContext é alterado mais de uma vez em uma única solicitação, o que pode levar a uma falha no salvamento do SecurityContext. Um usuário mal-intencionado não pode causar diretamente a ocorrência desse bug, pois ele precisa ser programado na aplicação. No entanto, se uma aplicação pretender conceder privilégios elevados a um usuário apenas para uma parte da aplicação, esse bug pode ser explorado para estender esses privilégios a toda a aplicação.

Para versões do Spring Security 5.2.x anteriores à 5.2.9.RELEASE, atualize para a versão 5.2.9.RELEASE ou posterior.

Para versões do Spring Security 5.3.x anteriores à 5.3.8.RELEASE, atualize para a versão 5.3.8.RELEASE ou posterior.

Para versões do Spring Security 5.4.x anteriores à 5.4.4, atualize para a versão 5.4.4 ou posterior.

Para versões mais antigas e sem suporte do Spring Security, considere atualizar para uma versão com suporte para mitigar o risco.