38816

• Betroffenes Produkt:^Spring® Framework
• Betroffene Pakete:
  • spring-webflux
  • spring-webmvc
• Betroffene Versionen:
  • Alle vor 5.3.0
  • 5.3.0 – 5.3.39
  • 6.0.0 – 6.0.23
  • 6.1.0 – 6.1.12
• GitHub-Repository: https://github.com/spring-projects/spring-framework
• Veröffentlichte Pakete:

https://mvnrepository.com/artifact/org.springframework/spring-webflux

https://mvnrepository.com/artifact/org.springframework/spring-webmvc

• Behoben in: ELS for^Spring® Framework:spring-web v5.3.39.TuxCare.1, das auf der letzten Open-Source-Community-Version 5.3.39 als Basis basiert, auf die alle TuxCare-Patches angewendet wurden.

Anwendungen, die statische Ressourcen über die funktionalen Web-Frameworks WebMvc.fn oder WebFlux.fn bereitstellen, sind anfällig für Pfadüberlauf-Angriffe. Ein Angreifer kann bösartige HTTP-Anfragen erstellen und beliebige Dateien im Dateisystem abrufen, auf die auch der Prozess Zugriff hat, in dem die^{Spring®-Anwendung} ausgeführt wird.

Konkret ist eine Anwendung verwundbar, wenn beide der folgenden Punkte zutreffen:

• die Webanwendung verwendet RouterFunctions zur Bereitstellung statischer Ressourcen
• der Umgang mit Ressourcen wird explizit mit einem FileSystemResource-Speicherort konfiguriert

Böswillige Anfragen werden jedoch blockiert und zurückgewiesen, wenn einer der folgenden Punkte zutrifft:

• Die^Spring® Security HTTP Firewall https://docs.spring.io/spring-security/reference/servlet/exploits/firewall.html wird verwendet.
• die Anwendung läuft auf Tomcat oder Jetty

1. Umgehung des statischen Ressourcenschutzes

In Anwendungen, die RouterFunctions verwenden und Dateien aus dem Dateisystem bereitstellen (z. B. mit FileSystemResource), können Angreifer Pfade wie:

/public/../../../../etc/passwd

...um sensible Dateien zu lesen.

1. Offenlegung sensibler Informationen
   • Angreifer können Dateien lesen wie:
     • /etc/passwd (Benutzerinformationen)
     • Konfigurationsdateien mit Anmeldeinformationen
     • Quellcode, Protokolle oder private Schlüssel
2. Kann zu weiteren Exploits führen
   • Durchgesickerte Informationen können Angreifern helfen:
     • Privilegien eskalieren
     • Lokale Dateieinbindung (LFI) durchführen
     • Weitere Angriffe durchführen (z. B. SSRF, RCE)
3. Funktioniert in reaktiven und traditionellen Anwendungen

Betrifft sowohl ^Spring® WebFlux.fn- als auch ^Spring® WebMvc.fn- Anwendungen und ist somit für verschiedene Web-Stacks relevant.

Wenn Sie Ihre^Spring® WebFlux- oder WebMvc.fn-Anwendung so konfigurieren, dass sie Dateien aus dem lokalen Dateisystem (z. B. /var/www/files) mithilfe von RouterFunctions bereitstellt, kann ein Angreifer URLs wie die folgenden erstellen:

/files/../../../etc/passwd

...um auf beliebige Dateien außerhalb des erlaubten Verzeichnisses zuzugreifen.

Voraussetzungen

• Verwenden Sie ^Spring® Framework-Versionen:
  • 5.3.0 – 5.3.39
  • 6.0.0 – 6.0.23
  • 6.1.0 – 6.1.12
• Web-Stapel: ^Spring® WebFlux.fn oder ^Spring® WebMvc.fn

Bereitstellen statischer Dateien mit FileSystemResource ohne zusätzliche Sicherheitseinschränkungen.

pom.xml (für Maven)

Verwenden Sie^Spring® Boot 2.7.17 (das^Spring® Framework 5.3.39 enthält – anfällig).

<dependency>

  <groupId>org.springframework.boot</groupId>

  <artifactId>spring-boot-starter-webflux</artifactId>

  <version>2.7.17</version>

</dependency>

2. Dateistruktur

/static-files/

└── hallo.txt

3. Anwendungscode

@Konfiguration

public class StaticResourceRouter {

    @Bohne

    public RouterFunction<ServerResponse> staticFiles() {

        return RouterFunctions

            .resources("/files/**", new FileSystemResource("/absolute/path/to/static-files"));

    }

}

Testen Sie es

🟢 Normaler Antrag:

GET http://localhost:8080/files/hello.txt

✅ Antwortet mit der Datei.

🔴 Path Traversal Exploit:

GET http://localhost:8080/files/../../../etc/passwd

oder URL-kodiert:

GET http://localhost:8080/files/..%2F..%2F..%2Fetc%2Fpasswd

Erwartet (angreifbare App):

Gibt den Inhalt von /etc/passwd (oder anderen zugänglichen Dateien außerhalb von /static-files) zurück.

^Spring® Framework 5.3.x wird von der Open-Source-Community nicht mehr unterstützt, da sein End-of-Life-Datum der 30.06.2023 ist. Das bedeutet lediglich, dass die Version ab diesem Datum keine Updates mehr erhält, um dieses Problem zu beheben.

‍Benutzer der betroffenen Komponenten sollten eine der folgenden Abhilfemaßnahmen anwenden:

• Nutzen Sie den Endless Lifecycle Support von TuxCare, der den regulären Community-End-of-Life-Sicherheitssupport erweitert, und spielen Sie einfach unsere Patches ein.
• Aktualisieren Sie auf die Open-Source-Community-Version 6.1.13+ und nehmen Sie das Risiko in Kauf, ab dem 30. Juni'25 keine weiteren Sicherheitsupdates von der Community zu erhalten.
• Alternativ können Sie auch ein Upgrade auf die neuesten, seit über einem Jahr unterstützten Open-Source-Versionen^{des Spring®} Frameworks durchführen, die nicht betroffen sind, z. B. 6.2.5.
• Ersetzen Sie FileSystemResource durch ClassPathResource (verhindert den Zugriff auf das Dateisystem).
• Verwenden Sie die^Spring® Security HTTP Firewall, um verdächtige Pfadüberquerungsmuster abzulehnen.

Benötigen Sie eine Lösung für diese Sicherheitslücke für eine andere^Spring® Framework-Version? Bitte kontaktieren Sie uns, wir helfen Ihnen gerne weiter!

• https://nvd.nist.gov/vuln/detail/CVE-2024-38816
• https://spring.io/security/cve-2024-38816
• spring-projects/spring-framework@d86bf8b
• https://security.netapp.com/advisory/ntap-20241227-0001