38821

CNA: VMware
Schweregrad: Kritisch
Erstellungsdatum: 22. Oktober 2024
CWE-770: Zuteilung von Ressourcen ohne Begrenzung oder Drosselung
Betroffen sind:^Spring® Security-Versionen: 5.6.12 und darunter, 5.7.0 bis 6.3.3, ausgenommen 5.7.13+, 5.8.15+, 6.0.13+, 6.1.11+, 6.2.7+, 6.3.4
CVSS:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Dieses CVE wurde vom TuxCare-Team behoben und
ein Patch wurde für^Spring®- Benutzer an ELS geliefert.

Entdecken Sie ELS for^Spring®

Folgen Sie uns auf Social

Übersicht

^Spring® Security ist ein leistungsstarkes Framework für die Authentifizierung und Zugriffskontrolle für Java-Anwendungen, insbesondere für solche, die mit dem^Spring® Framework erstellt wurden. Es bietet eine umfassende Sicherheitslösung, die verschiedene Aspekte wie Authentifizierung, Autorisierung und Schutz vor gängigen Sicherheitslücken abdeckt.

Eine "unbegrenzte Ressourcenzuweisung" oder "Drosselung" liegt vor, wenn das Produkt eine wiederverwendbare Ressource oder eine Gruppe von Ressourcen im Namen eines Akteurs zuweist, ohne die Größe oder die Anzahl der Ressourcen, die zugewiesen werden können, einzuschränken, was gegen die vorgesehene Sicherheitspolitik für diesen Akteur verstößt.

CVE-2024-38821 ist eine kritische Sicherheitslücke zur Umgehung von Autorisierungsmaßnahmen, die in ^Spring® WebFlux-Anwendungen identifiziert wurde, die ^Spring® Security für die Zugriffskontrolle auf statische Ressourcen verwenden. Diese Schwachstelle ermöglicht es unbefugten Benutzern unter bestimmten Bedingungen, auf eingeschränkte statische Ressourcen zuzugreifen.

Dieses Problem betrifft mehrere Versionen des Pakets: org.springframework.security:spring-security-web.

Dossier Schwachstellen
CVE-ID	38821
Schweregrad	Kritisch: 9.1
CWE-ID und Name	CWE-770: Zuteilung von Ressourcen ohne Begrenzung oder Drosselung
Betroffenes Projekt	^Spring® Sicherheit
Betroffene Pakete	spring-security-web
Betroffene Versionen	5.6.2 and older, <5.7.0;5.7.12>, <5.8.0;5.8.14>, <6.0.0;6.0.12>, <6.1.0;6.1.10>, <6.2.0;6.2.6>, <6.3.0;6.3.3>
NVD-Veröffentlichungsdatum	28. Oktober 2024 (Spring.io: 22. Oktober Oktober 2024)
Open-Source-Fixtermin	21. Oktober 2024
Festgelegte Open-Source-Versionen	5.8.15

Detaillierte Untersuchung von38821

Betroffene Versionen:
- 5.6.12 und älter
- 5.7.0 - 5.7.12
- 5.8.0 - 5.8.14
- 6.0.0 - 6.0.12
- 6.1.0 - 6.1.10
- 6.2.0 - 6.2.6
- 6.3.0 - 6.3.3
GitHub-Repository:
- https://github.com/spring-projects/spring-security
Veröffentlichte Pakete:
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-web
Behoben in:
• Open-Source-Community-Version 5.8.15 (Quelle: Rob Winch) und in ELS für^Spring® Security v5.8.15.TuxCare  , das auf Version 5.8.15 als Basisversion basiert.

^Spring® WebFlux-Anwendungen, die die Unterstützung statischer Ressourcen^{von Spring®} nutzen und für die nicht-permitAll-Autorisierungsregeln gelten, können unter bestimmten Bedingungen anfällig für unbefugten Zugriff auf statische Ressourcen sein. Die Schwachstelle kann ausgenutzt werden, wenn die Anwendung alle folgenden Kriterien erfüllt:

Es handelt sich um eine WebFlux-Anwendung
Es nutzt die Unterstützung für statische Ressourcen^{von Spring®.}
Er hat eine nicht-permitAll Autorisierungsregel, die auf die statischen Ressourcen angewendet wird

Warum ist das ein Problem?

Wenn alle oben genannten Bedingungen erfüllt sind, kann die Schwachstelle unbefugten Zugriff auf statische Ressourcen ermöglichen, wodurch möglicherweise sensible Informationen oder Funktionen preisgegeben werden.

Schritte zum Reproduzieren

Einrichten einer anfälligen Anwendung:

Erstellen Sie eine^Spring® WebFlux-Anwendung, die statische Ressourcen (z. B. HTML-, CSS- und JavaScript-Dateien) bereitstellt.
Implementieren Sie^Spring® Security mit restriktiven Zugriffskontrollen für diese statischen Ressourcen (z. B. durch Authentifizierungspflicht).

Unbefugter Zugriffsversuch:

Erstellung von HTTP-Anfragen, die den URL-Pfad manipulieren, um auf die geschützten statischen Ressourcen zuzugreifenCybersecurity News
So kann beispielsweise der Zugriff auf //index.html anstelle von /index.html Sicherheitsfilter umgehen und unbefugten Zugriff auf index.html ermöglichen.Cybersecurity Nachrichten

Proof of Concept (PoC): Der Sicherheitsforscher Mouad Kondah hat eine detaillierte Erklärung und einen PoC-Exploit bereitgestellt, der zeigt, wie diese Schwachstelle durch die Manipulation von URL-Pfaden zur Umgehung von Sicherheitsfiltern ausgenutzt werden kann .

Milderung

^Spring® Security 5.8.x wird von der Open-Source-Community nicht mehr unterstützt, da sein End-of-Life-Datum am 31.12.2023 war. Das bedeutet, dass die Version ab diesem Datum keine Updates mehr erhält, um dieses Problem zu beheben.

‍Benutzer der betroffenen Komponenten sollten eine der folgenden Abhilfemaßnahmen anwenden:

Implementieren Sie den Endless Lifecycle Support (ELS) von TuxCare für^Spring®, der langfristige Sicherheitspatches für auslaufende^{Spring®-Projekt} versionen bereitstellt, einschließlich der von dieser CVE betroffenen Versionen.
Aktualisieren Sie einfach auf die Open-Source-Community-Version 5.8.15 und nehmen Sie das Risiko in Kauf, keine weiteren Sicherheitsupdates von der Community zu erhalten.
Alternativ können Sie ein Upgrade auf die neueren, weiterhin unterstützten Open-Source-Versionen^{von Spring®} Security durchführen, in denen eine Korrektur integriert ist (z. B. Version 6.3.8).

Wenn Sie eine Lösung für diese Sicherheitslücke oder für eine andere^Spring® Security-Version benötigen, kontaktieren Sie uns bitte. Wir helfen Ihnen gerne weiter!

Stellen Sie uns hier eine Frage.

Erfahren Sie hier mehr über den Endless Lifecycle Support für^Spring®.