springboot 修复 Spring Framework 特定条件下目录遍历漏洞（CVE-2024-38816）

一定要看到最后！

一定要看到最后！

一定要看到最后！

一、漏洞描述

Spring框架是 Java 平台的一个开源的全栈应用程序框架和控制反转容器实现。2024年9月，Spring官方发布公告披露 CVE-2024-38816 Spring Framework 特定条件下目录遍历漏洞。当同时满足使用 RouterFunctions 和 FileSystemResource 来处理和提供静态文件 时，攻击者可构造恶意请求遍历读取系统上的文件。

影响范围

Spring Framework 5.3.0 - 5.3.39

Spring Framework 6.0.0 - 6.0.23

Spring Framework 6.1.0 - 6.1.12

其他更老或者官方已不支持的版本

安全版本

Spring Framework 5.3.40

Spring Framework 6.0.24

Spring Framework 6.1.13

二、解决建议

1、建议更新至最新版本。
2、排查代码中是否有类似使用，结合实际情况可确认是否实际受影响。

springboot2.x的用户请注意：

安全版本Spring Framework 5.3.40为企业版，未免费开放使用！

安全版本Spring Framework 5.3.40为企业版，未免费开放使用！

安全版本Spring Framewo