38828

CNA: VMware
Schweregrad: Mittel
Erstellungsdatum: 15. November 2024
CWE-400: Unkontrollierter Ressourcenverbrauch
Betroffen:^Spring® Framework: Spring-web-Versionen: alle vor 5.3.0, von 5.3.0 bis 5.3.41, ausgenommen 5.3.39.tuxcare.4
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Hinweis: In der Version 5.3.39.tuxcare.4 wenden wir unseren Patch auf die letzte verfügbare Open-Source-Community-Version als Basis an.

Dieses CVE wurde vom TuxCare-Team behoben und
ein Patch wurde für^Spring®- Benutzer an ELS geliefert.

Entdecken Sie ELS for^Spring®

Folgen Sie uns auf Social

Übersicht

^{Das Spring®} Framework ist ein umfassendes Open-Source-Framework für die Entwicklung von Java-Anwendungen. Es bietet Dependency Injection (DI), aspektorientierte Programmierung (AOP) und Transaktionsmanagement und macht die Java-Entwicklung modularer und effizienter.

^Spring® Web ist ein Modul des^Spring® Frameworks, das für die Entwicklung von Webanwendungen und RESTful-Diensten in Java konzipiert wurde. Es bietet wichtige Webfunktionen, darunter servletbasierte Anforderungsbearbeitung, REST-API-Unterstützung und Integration mit^Spring® Web MVC, einem Modul innerhalb^{des Spring®} Frameworks, das eine leistungsstarke Model-View-Controller (MVC) -Architektur für die Entwicklung von Webanwendungen bereitstellt.

Unkontrollierter Ressourcenverbrauch kann dazu führen, dass das Produkt die Zuteilung und Wartung einer begrenzten Ressource nicht ordnungsgemäß kontrolliert, so dass ein Akteur die Menge der verbrauchten Ressourcen beeinflussen kann, was schließlich zur Erschöpfung der verfügbaren Ressourcen führt.

CVE-2024-38828 identifiziert eine Denial-of-Service-Sicherheitslücke (DoS) im ^Spring® MVC-Modul des ^{Spring® Frameworks}. Insbesondere sind Controller-Methoden anfällig, die die Annotation @RequestBody mit einem byte[] -Parameter verwenden. Ein Angreifer kann dies ausnutzen, indem er eine große Nutzlast sendet, was zu übermäßigem Speicherverbrauch und möglichen Anwendungsabstürzen führt.

Dieses Problem betrifft mehrere Versionen von:

org.springframework:spring-web-Paket.

Dossier Schwachstellen
CVE-ID	38828
Schweregrad	Mittel: 5,3
CWE-ID und Name	CWE-287: Unzulässige Authentifizierung
Betroffene Pakete	spring-security-crypto
Betroffene Pakete	spring-web
Betroffene Versionen	All prior 5.3.0, <5.3.0;5.3.41>
NVD Veröffentlichungsdatum	17. November 2024 (Spring.io: 15. November 2024)
TuxCare Fixtermin	28. März 2025
TuxCare feste Version	5.3.39tuxcare.4

Detaillierte Untersuchung von38828

Betroffenes Produkt:^Spring® Framework
Betroffene Pakete: spring-web
Betroffene Versionen:
- Alle vor 5.3.0
GitHub-Repository:
- https://github.com/spring-projects/spring-framework
Veröffentlichte Pakete:
- https://mvnrepository.com/artifact/org.springframework/spring-web

Behoben in: ELS for^Spring® Framework:spring-web v5.3.39.TuxCare.4, das auf der letzten Open-Source-Community-Version 5.3.39 als Basis basiert, auf die alle TuxCare-Patches angewendet wurden.

Informationen zur Schwachstelle

Das ^{Spring®MVC-Modul}des^{Spring® Frameworks} enthält eine Denial-of-Service-Sicherheitslücke (DoS), die als CVE-2024-38828 identifiziert wurde. Angreifer können Controller-Methoden ausnutzen, die die Annotation @RequestBody mit einem byte[] -Parameter verwenden, indem sie eine große Nutzlast senden, was zu übermäßigem Speicherverbrauch und möglichen Anwendungsabstürzen führt.

Warum ist das ein Problem?

Ein Angreifer könnte absichtlich eine sehr große Eingabe erstellen, die, wenn sie vom Server akzeptiert würde, eine große Menge an Speicher belegen würde, was zu einer „Out of Memory“-Ausnahme führen könnte – das klingt doch nach einem Denial-of-Service-Angriff, oder?
Der Server ist anfällig für Out-of-Memory-Ausnahmen, da er beliebig große Anfragekörper akzeptiert, die er direkt in Byte-Arrays umwandelt. Dieses Problem kann durch die Verwendung eines Eingabestroms zur Verarbeitung großer Nutzdaten und die Festlegung einer Höchstgrenze für die Größe von Anfragen auf Serverebene etwas gemildert werden. Diese Maßnahmen sind zwar keine perfekte Lösung, können aber helfen, Serverabstürze aufgrund von Ressourcenbeschränkungen zu verhindern.

Milderung

^Spring® Framework 5.3.x wird von der Open-Source-Community nicht mehr unterstützt, da sein End-of-Life-Datum der 30.06.2023 ist. Das bedeutet lediglich, dass die Version ab diesem Datum keine Updates mehr erhält, um dieses Problem zu beheben.

‍Benutzer der betroffenen Komponenten sollten eine der folgenden Abhilfemaßnahmen anwenden:

Nutzen Sie den Endless Lifecycle Support von TuxCare, der den regulären EoL-Sicherheitssupport der Community erweitert - und spielen Sie dann einfach unsere Patches ein.
In nicht unterstützten Versionen sollten Sie @RequestBody byte[] durch InputStream ersetzen, um Anfragedaten sicherer zu behandeln.
Alternativ können Sie ein Upgrade auf die neueren, weiterhin unterstützten Open-Source-Versionen^{des Spring®} Frameworks durchführen, in denen der Fix bereits integriert ist (z. B. 6.1.x oder 6.2.x).

Benötigen Sie eine Lösung für diese Sicherheitslücke für eine andere^Spring® Framework-Version? Bitte kontaktieren Sie uns – wir helfen Ihnen gerne weiter!