Защитная проверка org.springframework.ws:spring-ws-core по GHSA-whpp-xv3h-rwxf: версия, обратимый fixture, PASS/FAIL/Unknown, stop-rule и обезличенный пакет доказательств.
Что проверить для org.springframework.ws:spring-ws-core
Практический ответ начинается с inventory и одного обратимого отрицательного теста. Команда не знает, валидируется ли адрес ответа до исходящего запроса. Короткий ответ: подтвердите фактический record и границу «maven/org.springframework.ws:spring-ws-core >= 5.0.0, <= 5.0.1 → 5.0.2; maven/org.springframework.ws:spring-ws-core >= 4.1.0, <= 4.1.3 → 4.1.4; maven/org.springframework.ws:spring-ws-core >= 4.0.0, <= 4.0.18 → исправленная сборка не указана; maven/org.springframework.ws:spring-ws-core >= 3.1.0, <= 3.1.8 → исправленная сборка не указана», затем проведите только обратимую проверку: на стенде с локальным sink сверить allowlist и отказ для непредусмотренного адреса без обращения к внешним или внутренним сервисам. Не используйте production, чужие данные или вредоносные payload. GitHub Advisory Database указывает severity high и обновление 2026-08-21; это приоритет для инвентаризации, а не доказательство атаки или массового спроса. Запишите digest сборки, resolved dependency и картина затронутой функции. Если record транзитивный, имя образа или процесса не заменяет lock-файл, SBOM либо provenance артефакта.
Как определить применимость версии
Зафиксированная advisory-boundary: maven/org.springframework.ws:spring-ws-core >= 5.0.0, <= 5.0.1 → 5.0.2; maven/org.springframework.ws:spring-ws-core >= 4.1.0, <= 4.1.3 → 4.1.4; maven/org.springframework.ws:spring-ws-core >= 4.0.0, <= 4.0.18 → исправленная сборка не указана; maven/org.springframework.ws:spring-ws-core >= 3.1.0, <= 3.1.8 → исправленная сборка не указана. Сопоставляйте её с реально загруженной библиотекой, а не только с manifest исходников. Разделите исход на `not_present`, `outside_range`, `affected_candidate`, `patched_or_backported` и `unknown`. Для fork зарегистрируйте upstream commit и описание backport. Для категории `ssrf` отдельно отметьте, достигается ли соответствующий путь из доверенной зоны. Если branch или package не удаётся однозначно сопоставить, остановитесь на Unknown и не подменяйте факт общим советом «обновить всё».
Обратимый тест без опасного воспроизведения
Рекомендуемый fixture: на стенде с локальным sink сверить allowlist и отказ для непредусмотренного адреса без обращения к внешним или внутренним сервисам. До запуска подготовьте пустой временный контекст, ограничьте время и ресурсы, отключите внешнюю сеть и зарегистрируйте expected result. Сначала проведите benign positive control, который доказывает работоспособность функции. Затем один отрицательный случай, проверяющий только заявленную границу. Не переносите в fixture токены, персональные данные, реальные пути, production-конфигурацию или опубликованные proof-of-concept. После теста удалите временные сущности и подтвердите отсутствие изменения исходного состояния.
Критерии PASS, FAIL и Unknown
Практический артефакт: матрица reply destination class–allowlist rule–outbound attempt–decision. PASS означает, что разрешённый control работает, а пограничный случай отклонён до нежелательного состояния. FAIL фиксируется только при работающем control и наблюдаемом нарушении заявленной границы. Unknown обязателен, если сборка не доказана, test harness не достиг нужного пути, вывод нельзя прочитать обратно или ограничитель сам оборвал проверку. Для `ssrf` дополнительно зарегистрируйте время, память, нормализованный путь, субъект доступа либо контекст вывода — только те колонки, которые относятся к механизму.
План обновления и stop-rule
Если сборка попадает в затронутый диапазон, используйте поддерживаемую исправленную ветку из primary source и повторите тот же fixture до и после изменения. Не меняйте одновременно dependency, proxy, права и формат данных: иначе вывод потеряет причинность. Stop-rule: немедленно завершите тест при росте ресурсов вне лимита, неожиданном сетевом обращении, записи за пределами временного каталога, попытке затронуть чужой объект или появлении реальных секретов. WAF, отсутствие жалоб и статус active не равны исправлению GHSA-whpp-xv3h-rwxf.
Что приложить к запросу поддержки
Сохраните GHSA-whpp-xv3h-rwxf, package name, resolved version, artifact digest, ветку и commit, feature state, hash синтетического fixture, verdicts control и negative case, а также итог PASS/FAIL/Unknown. Приложите ссылки на GitHub Advisory Database и primary upstream source, но не вставляйте большие фрагменты чужого текста. Отдельная боль: команда не знает, валидируется ли адрес ответа до исходящего запроса. Результат — матрица reply destination class–allowlist rule–outbound attempt–decision. Механизм GHSA-whpp-xv3h-rwxf (Spring Web Services: SSRF via unvalidated WS-Addressing reply destinations) не совпадает с соседними intent и требует собственного набора наблюдений. Такой record позволяет maintainer повторить решение без доступа к production. Если advisory, локальная сборка и regression test расходятся, перечислите расхождение как Unknown вместо предположения о безопасности.
Контрольная карточка GHSA-whpp-xv3h-rwxf для ssrf
Карточка именно этого решения связывает вопрос «команда не знает, валидируется ли адрес ответа до исходящего запроса» с проверкой «на стенде с локальным sink сверить allowlist и отказ для непредусмотренного адреса без обращения к внешним или внутренним сервисам». В первой строке укажите org.springframework.ws:spring-ws-core, затем границу maven/org.springframework.ws:spring-ws-core >= 5.0.0, <= 5.0.1 → 5.0.2; maven/org.springframework.ws:spring-ws-core >= 4.1.0, <= 4.1.3 → 4.1.4; maven/org.springframework.ws:spring-ws-core >= 4.0.0, <= 4.0.18 → исправленная сборка не указана; maven/org.springframework.ws:spring-ws-core >= 3.1.0, <= 3.1.8 → исправленная сборка не указана. Во второй строке зарегистрируйте исходный сигнал: Spring Web Services: SSRF via unvalidated WS-Addressing reply destinations. Третья строка — ожидаемый практический вывод «матрица reply destination class–allowlist rule–outbound attempt–decision». Для этого механизма не подходят доказательства соседних страниц: название продукта, общий статус службы, один HTTP 200, отсутствие жалоб или скриншот интерфейса не отвечают на заявленный вопрос. Отдельно зарегистрируйте, какой benign control подтверждает достижимость пути, какое наблюдение считается отказом до побочного эффекта и при каком условии решение становится Unknown. Пакет не должен содержать токены, реальные имена, адреса узлов, содержимое документов, дампы памяти или полный production-log. Финальная подпись включает дату 2026-08-31, GHSA-whpp-xv3h-rwxf, digest сборки и ссылку на upstream. Так другой специалист проверит категорию ssrf по тем же полям, не повторяя опасный сценарий и не получая доступ к данным пользователя.
Минимальный record для повторной проверки spring-ws-reply-destination-validation-check
Команда не знает, валидируется ли адрес ответа до исходящего запроса. Рабочее действие для этой карточки: на стенде с локальным sink проверить allowlist и отказ для непредусмотренного адреса без обращения к внешним или внутренним сервисам. Ожидаемый артефакт: матрица reply destination class–allowlist rule–outbound attempt–decision. Upstream формулировка механизма: Spring Web Services: SSRF via unvalidated WS-Addressing reply destinations. Компонентная граница: maven/org.springframework.ws:spring-ws-core >= 5.0.0, <= 5.0.1 → 5.0.2; maven/org.springframework.ws:spring-ws-core >= 4.1.0, <= 4.1.3 → 4.1.4; maven/org.springframework.ws:spring-ws-core >= 4.0.0, <= 4.0.18 → исправленная версия не указана; maven/org.springframework.ws:spring-ws-core >= 3.1.0, <= 3.1.8 → исправленная версия не указана. Для outbound-destination boundary все адреса ведут только на локальный test sink. Проверяют canonical destination, allowlist, повторную валидацию после преобразований и факт отсутствия попытки к запрещённому классу. Не сканируют сеть и не обращаются к metadata endpoints. PASS строится на журнале sink и локальном decision trace. Цепочка наблюдения «spring → ws → reply → destination → validation → check» задаёт названия колонок и порядок read-back. Машиночитаемые ключи record: spring-ws-reply-destination-validation-check-baseline, spring-ws-reply-destination-validation-check-inventory, spring-ws-reply-destination-validation-check-control, spring-ws-reply-destination-validation-check-boundary, spring-ws-reply-destination-validation-check-fixture, spring-ws-reply-destination-validation-check-deadline, spring-ws-reply-destination-validation-check-readback, spring-ws-reply-destination-validation-check-sideeffects, spring-ws-reply-destination-validation-check-verdict, spring-ws-reply-destination-validation-check-provenance, spring-ws-reply-destination-validation-check-rollback, spring-ws-reply-destination-validation-check-timestamp, spring-ws-reply-destination-validation-check-owner, spring-ws-reply-destination-validation-check-digest, spring-ws-reply-destination-validation-check-unknownreason. После обновления повторяется тот же fixture, поэтому изменение org.springframework.ws:spring-ws-core можно отделить от изменения окружения. Для GHSA-whpp-xv3h-rwxf verdict остаётся Unknown при пропущенном control, несовпадающей ветке либо недоступном read-back.
Материал подготовлен редакцией VOne с помощью ИИ; версии, источники, безопасный fixture, stop-rule, privacy-ограничения и отсутствие рекламных обещаний перепроверены человеком.
Источники и проверка
- GitHub Advisory Database GHSA-whpp-xv3h-rwxf проверено 2026-08-31
- Primary upstream source for org.springframework.ws:spring-ws-core проверено 2026-08-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.