spring
CVE-2026-40972：DevTools 远程密钥比较易受时序攻击影响
高危 | 2026年4月23日 | CVE-2026-40972
描述
当攻击者与远程应用处于同一网络环境中时，可能利用时序攻击推断远程密钥的相关信息。时序攻击通常通过观察不同输入在校验过程中的响应时间差异，逐步推测密钥内容或验证逻辑。
在极端情况下，攻击者可能进一步确定远程密钥，并上传被篡改的类文件，从而在远程应用中实现远程代码执行。由于 DevTools 远程能力主要用于开发和调试场景，一旦在不受控网络或生产环境中暴露，风险会明显升高。
该问题的关键风险点在于远程密钥比较过程不够安全。如果密钥校验存在可被时间差观察到的行为，攻击者可能通过多次请求逐步缩小判断范围。对于启用了 DevTools 远程功能的应用，应尽快检查版本与部署环境。
受影响的 Spring 产品和版本
受影响产品为 Spring Boot，涉及以下版本：
● 4.0.0 - 4.0.5
● 3.5.0 - 3.5.13
● 3.4.0 - 3.4.15
● 3.3.0 - 3.3.18
● 2.7.0 - 2.7.32
已停止支持的版本同样受到影响。
缓解措施
受影响版本的用户应升级到对应的修复版本。升级后，相关远程密钥比较逻辑会得到修正，降低时序攻击推断密钥的风险。
无需采取额外缓解措施。建议受影响用户尽快升级至对应修复版本，并在升级后验证 DevTools 远程连接、应用启动和调试相关流程是否正常。
处理建议
建议先确认项目是否引入 Spring Boot DevTools，并检查是否启用了远程 DevTools 功能。生产环境不应开启远程调试类能力，如无明确开发排障需求，应关闭相关配置并限制访问入口。
同时，应检查应用是否暴露在共享网络、办公网络、测试网络或公网边界中。如果 DevTools 远程能力曾经启用，建议同步更换相关远程密钥，并排查是否存在异常连接、频繁认证失败、异常类文件上传或应用行为异常。
对于仍需使用远程调试能力的开发环境，应通过网络访问控制、身份认证、密钥轮换和最小权限策略降低风险，避免调试入口被非授权用户访问。
