Apache Ignite 2.16.0是否受CVE-2024-22243漏洞影响及缓解方案

漏洞风险判定 #

Apache Ignite 2.16.0存在CVE-2024-22243漏洞风险。原因如下：
CVE-2024-22243影响Spring Framework的版本范围为5.2.x（≤5.2.24.RELEASE）、5.3.x（≤5.3.27.RELEASE）、6.0.x（≤6.0.16）、6.1.x（≤6.1.3），而Ignite 2.16.0依赖的Spring版本为5.2.2，完全处于受影响区间内。

缓解措施 #

• 升级Spring依赖版本：直接在项目构建文件（如Maven的pom.xml或Gradle的build.gradle）中覆盖Spring Framework的版本，指定为5.2.x分支的安全版本5.2.24.RELEASE，或更高分支的安全版本（如5.3.27+、6.0.17+、6.1.4+），即可修复漏洞。
• 临时配置规避：若暂时无法升级Spring版本，可通过以下方式限制漏洞触发：
  • 对于Spring MVC应用，自定义WebDataBinder，明确指定允许绑定的属性范围，禁止绑定敏感或未预期的属性；
  • 对所有用户输入进行严格校验，避免恶意构造的请求参数进入绑定流程。
• 等待Ignite官方更新：关注Apache Ignite官方发布，待其推出升级了Spring依赖的新版本后，直接升级Ignite至该版本，从根源解决依赖问题。
• 应用层安全加固：部署Web应用防火墙（WAF），拦截包含可疑参数的请求；同时在业务代码中增加输入过滤逻辑，阻断恶意输入传递到Spring绑定环节。

内容的提问来源于stack exchange，提问作者Vaishali this side