При включении поддержки Spring Boot DevTools для удаленного целевого приложения (например, контейнера Docker или приложения Cloud Foundry) на панели загрузки Spring Tools Spring Tools генерирует общий секрет, который аутентифицирует загрузку DevTools с удаленным перезапуском в развернутое приложение. Этот секрет был создан с использованием некриптографического генератора псевдослучайных чисел, а не криптографически безопасного источника случайности.
Затронутые продукты и версии Spring:
Spring Tools для Eclipse: 5.2.0 и более ранние версии
Показать оригинальное описание (EN)
When enabling Spring Boot DevTools support for a remote application target (for example a Docker container or Cloud Foundry app) from the Spring Tools Boot Dashboard, Spring Tools generates a shared secret that authenticates DevTools remote-restart uploads to the deployed application. This secret was generated using a non-cryptographic pseudo-random number generator rather than a cryptographically secure source of randomness. Affected Spring Products and Versions: Spring Tools for Eclipse: 5.2.0 and earlier
Характеристики атаки
Последствия
Строка CVSS v3.1