【中危】Spring Kafka 反序列化漏洞 (CVE-2023-34040)

最新推荐文章于 2025-04-25 15:59:22 发布

开源生态安全OSCS

最新推荐文章于 2025-04-25 15:59:22 发布

阅读量968

点赞数 2

分类专栏：漏洞情报订阅文章标签： spring kafka java 安全漏洞网络安全

本文链接：https://blog.youkuaiyun.com/cups107/article/details/132496954

版权

本文详细介绍了Spring Kafka的中危反序列化漏洞CVE-2023-34040，包括其危害、影响范围、OSCS和Spring Security Advisories平台的处置方案，以及如何进行排查。墨知社区提供了全面的软件供应链安全知识，包括漏洞分析、行业研究和最佳实践，旨在提升软件供应链安全性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

https://zhi.oscs1024.com/ — zhi.oscs1024.com

漏洞类型	反序列化	发现时间	2023-08-24	漏洞等级	中危
MPS编号	MPS-fed8-ocuv	CVE编号	CVE-2023-34040	漏洞影响广度	小

漏洞危害

OSCS 描述

Spring Kafka 是 Spring Framework 生态系统中的一个模块，用于简化在 Spring 应用程序中集成 Apache Kafka 的过程，记录(record)指 Kafka 消息中的一条记录。
受影响版本中默认未对记录配置 ErrorHandlingDeserializer，当用户将容器属性 checkDeserExWhenKeyNull 或 checkDeserExWhenValueNull 设置为 true(默认未false)，并且允许不受信任的源发布到 Kafka 主题中时，攻击者可将恶意 payload 注入到 Kafka 主题中，当反序列化记录头时远程执行任意代码。<