关于CAS 6.5.7中h2及spring-security-core漏洞的修复方案问询

官方修复计划与新版本发布 #

• CAS官方针对严重依赖漏洞通常会发布对应系列的维护版本，你提到的h2（需升级至2.1.210及以上）和spring-security-core（需升级至5.6.4及以上）的安全版本，会集成到CAS 6.5.x系列的后续维护版本中。
• 关于发布时间：CAS维护版本的发布节奏一般为每月或每季度一次，具体时间需结合官方修复进度，建议关注CAS版本更新日志和发布公告获取准确信息。

依赖修复细节 #

H2数据库依赖（1.4.197 → 2.1.210+） #

针对以下CVE漏洞的修复内容：

• CVE-2021-23463：修复H2控制台权限绕过问题，限制未授权用户对敏感操作的访问权限
• CVE-2022-23221：修复SQL注入漏洞，强化用户输入校验与参数绑定逻辑
• CVE-2021-42392：修复远程代码执行漏洞，优化H2类加载机制与命令执行权限控制

Spring Security依赖（5.6.1 → 5.6.4+） #

针对CVE-2022-22978的修复内容：

• 修复OAuth2授权码流程中的重定向URI校验漏洞，严格验证重定向URI的合法性，防止攻击者构造恶意URI实施钓鱼或授权劫持

临时风险缓解建议 #

若需在官方新版本发布前降低风险，可尝试：

• 通过Maven/Gradle的依赖覆盖机制，强制项目使用安全版本的h2和spring-security-core（需提前测试兼容性，避免CAS核心功能异常）
• 生产环境禁用H2控制台，仅在开发环境有限启用并限制访问权限
• 手动加强OAuth2客户端的重定向URI校验逻辑，过滤非法URI

内容的提问来源于stack exchange，提问作者Johnwin