Spring Cloud 2025.1.3 (Oakwood) Ra Mắt với Loạt Bản Vá Bảo Mật

Nhóm phát triển Spring Cloud đã phát hành phiên bản 2025.1.3, mã hiệu Oakwood, xây dựng trên Spring Boot 4.0.8. Đây là bản bảo trì, nhưng đừng để số phiên bản đánh lừa—nó chứa đầy các bản vá bảo mật chạm đến hầu hết các module chính.

Các bản vá bảo mật chiếm ưu thế

Spring Cloud Config nhận được nhiều sự chú ý nhất với bốn CVE được xử lý: một cuộc tấn công TOCTOU khi sử dụng SVN, một endpoint monitor không xác thực các yêu cầu webhook, lộ repository môi trường native, và một cuộc tấn công từ chối dịch vụ trong monitor. Nếu bạn đang chạy Config Server với SVN hoặc để lộ endpoint monitor, bạn nên nâng cấp ngay lập tức.

Spring Cloud Function cũng nhận được một loạt bản vá, bao gồm khả năng đọc file tùy ý và SSRF, xác định URI bảo mật không chính xác, lọc header HTTP không đúng, đầu độc tra cứu composition, và ghi log dữ liệu nhạy cảm trong các binding AWS và Azure. Gateway vá một lỗ hổng SSRF và truy cập file native với gRPC, và Stream sửa nhiều vấn đề bao gồm deserialization các kiểu không tin cậy và caching không đúng các loại nội dung.

Commons xử lý CVE-2026-59284, liên quan đến danh sách cho phép của actuator endpoint writable env, và nâng cấp Bouncycastle lên 1.85.2 với một BOM mới.

Cải tiến chức năng

Ngoài bảo mật, có một vài thay đổi về chất lượng cuộc sống. Config hiện hỗ trợ searchPaths kiểu Git với ký tự đại diện trong các bucket AWS S3. Gateway thêm hỗ trợ retry backoff cho MVC. Commons nhận được một số bản sửa xung quanh việc đặt lại thuộc tính cấu hình—không còn đặt lại đệ quy cho các kiểu thư viện, bỏ qua các bean không có constructor mặc định, và tự động nạp bean khi rebinding.

Phiên bản module

Hầu hết các module ở phiên bản 5.0.3, với Config ở 5.0.5, Function ở 5.0.4, và bản starter build ở 2025.1.3. Danh sách đầy đủ bao gồm Build, Bus, Circuitbreaker, Commons, Consul, Kubernetes, Openfeign, và Stream.

Lộ trình nâng cấp

Như thường lệ, bạn có thể kéo BOM từ Maven Central. Ghi chú phát hành trên GitHub có chi tiết đầy đủ, nhưng tóm lại: nếu bạn đang ở bất kỳ dòng 2025.1.x nào, đây là bản nâng cấp được khuyến nghị—đặc biệt nếu bạn bị ảnh hưởng bởi bất kỳ CVE nào đã được vá.