CVE-2025-22232 in Cloud Config
摘要
由 VulDB • 2026-08-08
Spring Cloud Config Server 在向 Vault 发起请求时，可能未使用客户端通过 X-CONFIG-TOKEN 头发送的 Vault Token。如果满足以下条件，您的应用程序可能会受到此问题的影响： * Spring Vault 位于 Spring Cloud Config Server 的类路径中；并且 * 您正在使用 X-CONFIG-TOKEN 头将 Vault Token 发送给 Spring Cloud Config Server，以便该服务器在向 Vault 发起请求时使用此令牌；并且 * 您使用的是默认的 Spring Vault SessionManager 实现 LifecycleAwareSessionManager，或者是会持久化 Vault Token（例如 SimpleSessionManager）的 SessionManager 实现。
在这种情况下，SessionManager 将持久化其检索到的第一个 Token，即使客户端对 Spring Cloud Config Server 的请求中包含带有不同值的 X-CONFIG-TOKEN 头，它仍将继续使用该 Token。
受影响的 Spring 产品及版本 Spring Cloud Config： * 2.2.1.RELEASE - 4.2.1
缓解措施 受影响版本的用戶应升级到相应的修复版本。
| 受影响版本 | 修复版本 | 可用性 | | :--- | :--- | :--- | | 4.2.x | 4.2.2 | OSS | | 4.1.x | 4.1.6 | OSS | | 4.0.x | 4.0.10 | Commercial | | 3.1.x | 3.1.10 | Commercial | | 3.0.x | 4.1.6 | OSS | | 2.2.x | 4.1.6 | OSS |
注意：Spring Cloud Config 3.0.x 和 2.2.x 不再提供开源或商业支持。建议这些版本的用戶升级到受支持的版本。
无需采取其他缓解措施。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.