CVE:CVE-2011-2894
CNNVD:CNNVD-201109-135
Pivotal Spring Framework是美国Pivotal Software公司的一套开源的Java、Java EE应用程序框架。该框架可帮助开发人员构建高质量的应用。
来自不信任源的Spring Framework 3.0.0至3.0.5版本，Spring Security 3.0.0至3.0.5版本和2.0.0至2.0.6版本及其他版本deserialize对象中存在漏洞。远程攻击者可通过(1) serializing a java.lang.Proxy例子并且使用InvocationHandler，或者(2)访问终端AOP界面，绕过目标安全限制并且执行不受信任的代码。
solution:Upgrade vmware spring_framework to a higher version than 3.0.5,and avoid the version [3.0.0,3.0.5]; Upgrade vmware spring_security to a higher version than 2.0.6,and avoid the version [2.0.0,2.0.6]