# Spring Cloud Config 服务远程任意文件读取漏洞(CVE-2019-3799)

- Link: https://www.xuepaijie.com/html/security/trend/2005.html
- Published: 2019-04-25T21:14:50+08:00
- Author: Admin

**背景信息：**

2019年4月17日，监测到Spring官方发布安全公告，披露Spring Cloud Config服务器存在远程
任意文件读取漏洞(CVE-2019-3799)。黑客可通过漏洞直接遍历服务器任意磁盘文件，风险较大。

**漏洞描述：**

Spring Cloud Config一套开源分布式系统配置服务，为分布式环境提供外部配置服务支持。
目前漏洞可利用PoC已在互联网上披露。

**漏洞定级：**

高危

**漏洞影响范围：**

 1. 2.1.x系列：< 2.1.2
 2. 2.0.x系列：< 2.0.4
 3. 1.4.x系列：< 1.4.6
 4. 其他较早版本

**漏洞不影响范围：**

 1. 2.1.x系列：2.1.2 及以上
 2. 2.0.x系列：2.0.4 及以上
 3. 1.4.x系列：1.4.6 及以上

**漏洞处置建议：**

升级Spring Cloud Config至安全版本，并依据Spring官方文档对应用加固：[https://cloud.spring.io/spring-cloud-config/multi/multi__spring_cloud_config_server.html#_security](https://cloud.spring.io/spring-cloud-config/multi/multi__spring_cloud_config_server.html#_security)