38819

CNA: VMware
Schweregrad: Hoch
Erstellungsdatum: 17. Oktober 2024
CWE-22: Unzulässige Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ('Path Traversal')
Betrifft: ^Spring® Framework-Versionen: alle Versionen unter 6.1.14, außer 5.3.39.tuxcare.3
CVSS:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Dieses CVE wurde vom TuxCare-Team behoben und
ein Patch wurde für^Spring®- Benutzer an ELS geliefert.

Entdecken Sie ELS for^Spring®

Folgen Sie uns auf Social

Übersicht

^{Das Spring®} Framework ist ein umfassendes Open-Source-Framework für die Entwicklung von Java-Anwendungen. Es bietet Dependency Injection (DI), aspektorientierte Programmierung (AOP) und Transaktionsmanagement und macht die Java-Entwicklung modularer und effizienter.

^Spring® Web ist ein Modul des^Spring® Frameworks, das für die Erstellung von Webanwendungen und RESTful-Diensten in Java entwickelt wurde. Es bietet wichtige Webfunktionen, darunter servletbasierte Anforderungsverarbeitung, REST-API-Unterstützung und Integration mit^Spring® Web MVC, einem Modul innerhalb^{des Spring®} Frameworks, das eine leistungsstarke Model-View-Controller (MVC) -Architektur für die Erstellung von Webanwendungen bereitstellt. ^Spring® WebFlux ist ein reaktives, nicht blockierendes Web-Framework, das in^Spring® 5 eingeführt wurde. Es wurde für die Verarbeitung asynchroner und ereignisgesteuerter Webanwendungen unter Verwendung von Project Reactor (reaktive Streams) entwickelt.

Eine unzulässige Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ("Path Traversal") findet statt, wenn das Produkt externe Eingaben verwendet, um einen Pfadnamen zu konstruieren, der eine Datei oder ein Verzeichnis identifizieren soll, das sich unterhalb eines eingeschränkten übergeordneten Verzeichnisses befindet, das Produkt jedoch spezielle Elemente innerhalb des Pfadnamens nicht ordnungsgemäß neutralisiert, die dazu führen können, dass der Pfadname zu einem Ort außerhalb des eingeschränkten Verzeichnisses aufgelöst wird.

CVE-2024-38819, eine hochgradig schwerwiegende Path-Traversal-Sicherheitslücke, betrifft Anwendungen, die die funktionalen Web-Frameworks WebMvc.fn oder WebFlux.fn zur Bereitstellung statischer Ressourcen verwenden. Angreifer können diese Sicherheitslücke ausnutzen, indem sie bösartige HTTP-Anfragen erstellen, mit denen sie beliebige Dateien aus dem Dateisystem abrufen können, auf das der^{Spring®-Anwendungsprozess} zugreifen kann.

Dieses Problem betrifft mehrere Versionen von:

org.springframework:spring-webflux
Paket,

org.springframework:spring-webmvc
Paket.

Dossier Schwachstellen
CVE-ID	38819
Schweregrad	Hoch: 7,5
CWE-ID und Name	CWE-22: Unzulässige Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ('Path Traversal')
Betroffenes Projekt	^Spring® -Framework
Betroffene Pakete	spring-webflux spring-webmvc
Betroffene Versionen	All prior 5.3.0, <5.3.0;5.3.40>,<6.0.0;6.0.24>,<6.1.0;6.1.13>
NVD Veröffentlichungsdatum	19. Dezember 2024 (Spring.io: 17. Oktober 2024)
TuxCare Fixtermin	19. März 2025
TuxCare feste Version	5.3.39tuxcare.3

Detaillierte Untersuchung von38819

Betroffenes Produkt:^Spring® Framework
Betroffene Pakete:
- spring-webflux
- spring-webmvc
Betroffene Versionen:
- Alle vor 5.3.0
- 5.3.0 – 5.3.40
- 6.0.0 – 6.0.24
- 6.1.0 – 6.1.13
GitHub-Repository: https://github.com/spring-projects/spring-framework
Veröffentlichte Pakete:

https://mvnrepository.com/artifact/org.springframework/spring-webflux

https://mvnrepository.com/artifact/org.springframework/spring-webmvc

Behoben in: ELS for^Spring® Framework:spring-web v5.3.39.TuxCare.3, das auf der letzten Open-Source-Community-Version 5.3.39 als Basis basiert, auf die alle TuxCare-Patches angewendet wurden.

In Anwendungen, bei denen:

Statische Ressourcen werden mit RouterFunctions bedient
Die Ressourcenbehandlung wird explizit mit einem FileSystemResource-Speicherort konfiguriert.

Ein Angreifer kann böswillige HTTP-Anfragen erstellen, um Path-Traversal-Angriffe auszuführen und so möglicherweise auf jede Datei im Dateisystem des Servers zuzugreifen, für die der Anwendungsprozess eine Leseberechtigung hat.

Warum ist das ein Problem?

Umgehung des statischen Ressourcenschutzes

In Anwendungen, die RouterFunctions verwenden und Dateien aus dem Dateisystem bereitstellen (z. B. mit FileSystemResource), können Angreifer Pfade wie:

/public/../../../../etc/passwd

...um sensible Dateien zu lesen.

Offenlegung sensibler Informationen
- Angreifer können Dateien lesen wie:
  - /etc/passwd (Benutzerinformationen)
  - Konfigurationsdateien mit Anmeldeinformationen
  - Quellcode, Protokolle oder private Schlüssel
Kann zu weiteren Exploits führen
- Durchgesickerte Informationen können Angreifern helfen:
  - Privilegien eskalieren
  - Lokale Dateieinbindung (LFI) durchführen
  - Weitere Angriffe durchführen (z. B. SSRF, RCE)
Funktioniert in reaktiven und traditionellen Anwendungen

Betrifft sowohl ^Spring® WebFlux.fn- als auch ^Spring® WebMvc.fn- Anwendungen und ist somit für verschiedene Web-Stacks relevant.

Schritte zum Reproduzieren

Voraussetzungen

^Spring® Framework 5.3.0 bis 5.3.40, 6.0.0 bis 6.0.24 oder 6.1.0 bis 6.1.13
^Spring® WebFlux oder^Spring® WebMvc mit funktionalem Routing (RouterFunctions)
Eine Datei oder ein Verzeichnis, das mit FileSystemResource

1. Erstellen Sie eine^Spring® Boot-App mit WebFlux oder WebMvc.fn.

@Konfiguration

public class StaticResourceConfig {

@Bohne

public RouterFunction<ServerResponse> staticRoutes() {

return RouterFunctions.resources("/files/**", new FileSystemResource("/Ihr/Server/Pfad"));

}

Dadurch werden Dateien aus /Ihr/Server/Pfad unter dem URL-Pfad /Dateien/ zugänglich gemacht .

2. Fügen Sie eine Beispieldatei unter dem exponierten Pfad hinzu

/Ihr/Server/Pfad/index.html

3. Starten Sie die Anwendung

Navigieren Sie zu:

http://localhost:8080/files/index.html

✅ Sollte funktionieren und die Datei zurückgeben.

4. Versuchen Sie einen Pfadüberquerungsangriff

Versuchen Sie zuzugreifen:

http://localhost:8080/files/../../../etc/passwd

oder, falls kodiert:

http://localhost:8080/files/..%2f..%2f..%2f..%2fetc%2fpasswd

Wenn sie angreifbar ist, antwortet die Anwendung mit dem Inhalt von /etc/passwd (oder einer anderen lesbaren Datei außerhalb des erlaubten Verzeichnisses).

Erwartetes Ergebnis (angreifbar)

Der Server gibt den Inhalt der eingeschränkten Dateien außerhalb des vorgesehenen Ordners /files/ zurück.
Dies bestätigt, dass der Pfadüberquerungsangriff funktioniert hat.

Milderung

^Spring® Framework 5.3.x wird von der Open-Source-Community nicht mehr unterstützt, da sein End-of-Life-Datum der 30.06.2023 ist. Das bedeutet lediglich, dass die Version ab diesem Datum keine Updates mehr erhält, um dieses Problem zu beheben.

‍Benutzer der betroffenen Komponenten sollten eine der folgenden Abhilfemaßnahmen anwenden:

Nutzen Sie den Endless Lifecycle Support von TuxCare, der den regulären Community-End-of-Life-Sicherheitssupport erweitert, und spielen Sie einfach unsere Patches ein.
Aktualisieren Sie auf die Open-Source-Community-Version 6.1.14 und nehmen Sie das Risiko in Kauf, ab dem 30. Juni 2025 keine weiteren Sicherheitsupdates mehr von der Community zu erhalten.
Alternativ können Sie auch ein Upgrade auf die neuesten, seit über einem Jahr unterstützten Open-Source-Versionen^{des Spring®} Frameworks durchführen, die nicht betroffen sind, z. B. 6.2.5.
ClassPathResource für statische Dateien anstelle von FileSystemResource verwenden
Manuelle Validierung und Normalisierung von Pfaden vor der Auflösung von Ressourcen

Benötigen Sie eine Lösung für diese Sicherheitslücke für eine andere^Spring® Framework-Version? Bitte kontaktieren Sie uns, wir helfen Ihnen gerne weiter!