关于Spring Framework中CVE-2024-38828漏洞的技术细节问询

1. Spring Framework商业支持版本5.3.42的修复措施 #

该版本的修复并非禁用@RequestBody byte[]的使用，也不是修改错误处理逻辑，而是新增了可配置的请求体大小限制机制：

• 针对@RequestBody byte[]类型的参数处理，新增了专门的大小检查逻辑，当请求体大小超过阈值时会直接拒绝处理，避免超大数据加载到内存引发DoS；
• 默认阈值设置为256MB，开发者可通过配置项调整该上限，适配不同业务场景的需求。

2. 为何@RequestBody String不存在该问题 #

String类型的请求体映射由StringHttpMessageConverter处理，该转换器在Spring MVC中早已支持通过全局配置（如spring.http.request.body.max-size）限制请求体大小，超大请求体在映射为String前就会被拦截。而byte[]类型的处理逻辑此前未纳入该限制体系，会直接将整个请求体加载到内存，因此只有byte[]会触发DoS风险，String不受影响。

3. 为何Spring Framework 6.x不受该漏洞影响 #

Spring Framework 6.x在架构层面重构了请求体处理逻辑，统一了所有类型@RequestBody参数的大小限制机制：

• 包括byte[]在内的所有请求体类型，都会默认遵循全局的请求体大小配置，不存在5.x版本中byte[]绕过限制的逻辑漏洞；
• 同时6.x版本的消息转换器体系设计更严谨，从根源上避免了单一类型未受限制的情况。

内容的提问来源于stack exchange，提问作者Mauro Molinari