Spring Boot 2.7.0项目检测出CVE-2022-22976漏洞如何修复

CVE-2022-22976是Spring Security BCrypt密码校验逻辑中的整数溢出漏洞，攻击者可构造特殊的BCrypt哈希参数触发服务拒绝。你当前使用的Spring Boot 2.7.0默认搭载Spring Security 5.7.1，刚好在受影响版本范围内，可按以下优先级选择修复方案：

方案1：升级依赖（首选，兼容性风险最低） #

• 最省事的方式是直接把Spring Boot版本从2.7.0升级到2.7.1及以上的2.7.x稳定版。Spring Boot 2.7.1已经将内置绑定的Spring Security版本升级到修复该漏洞的5.7.2版本，不需要额外调整Security相关配置，升级后基本不会有兼容性问题。
• 如果暂时不能升级Spring Boot主版本，可以单独指定Spring Security版本到5.7.2及以上的5.7.x稳定版，不要跨大版本升级到6.x，否则会触发大量配置API不兼容问题（比如WebSecurityConfigurerAdapter移除、拦截规则API变更等）。
  • Maven项目直接在pom.xml的<properties>节点下加一行配置即可：

    <spring-security.version>5.7.2</spring-security.version>
    

  • Gradle项目在build.gradle中添加配置：

    ext['spring-security.version'] = '5.7.2'
    

方案2：临时缓解（无法立刻升级时使用） #

如果因为版本锁死、业务冻结等原因短时间内不能升级依赖，可自定义BCryptPasswordEncoder Bean，固定哈希强度为默认值10，禁止业务代码中传入自定义强度参数，避免恶意构造的参数触发溢出。注意这个方案只能降低攻击风险，不能彻底修复漏洞，后续必须安排依赖升级。

修复验证 #

• 升级完成后重新执行dependency-check扫描，确认CVE-2022-22976告警消除
• 回归测试登录、密码修改、密码校验相关业务流程，确认升级后不存在密码匹配失败、鉴权逻辑异常的问题。

踩坑提示：如果你的项目中手动覆盖了Spring Security的密码编码器配置，升级后要确认BCrypt的配置没有自定义异常的强度参数，避免出现老密码无法匹配的问题。

内容的提问来源于stack exchange，提问作者Lako12