38829

CNA: VMware
Schweregrad: Niedrig
Erstellungsdatum: 19. November 2024
CWE-178: Unsachgemäße Behandlung von Groß- und Kleinschreibung
Betroffen sind:^Spring® LDAP-Versionen: alle vor 2.4.0, von 2.4.0 bis 2.4.3, von 3.0.0 bis 3.0.9, von 3.1.0 bis 3.1.7, von 3.2.0 bis 3.2.7.
CVSS: 3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N

Dieses CVE wurde vom TuxCare-Team behoben und
ein Patch wurde für^Spring®- Benutzer an ELS geliefert.

Entdecken Sie ELS for^Spring®

Folgen Sie uns auf Social

Übersicht

^Spring® LDAP ist ein Framework, das die LDAP-Integration (Lightweight Directory Access Protocol) für Java-Anwendungen vereinfacht. Es bietet einen vorlagenbasierten Ansatz für die Interaktion mit LDAP-Verzeichnissen, wodurch komplexer Low-Level-Code überflüssig wird.

Eine unsachgemäße Handhabung der Groß- und Kleinschreibung kann dazu führen, dass das Produkt beim Zugriff auf oder bei der Bestimmung der Eigenschaften einer Ressource Unterschiede in der Groß- und Kleinschreibung nicht richtig berücksichtigt, was zu inkonsistenten Ergebnissen führt.

In diesem Fall (CVE-2024-38829) ist^Spring® LDAP von einer Offenlegung sensibler Daten bei groß-/kleinschreibungsabhängigen Vergleichen betroffen . Es handelt sich um ein Äquivalent zu CVE-2024-38820, jedoch für^Spring® LDAP. Die Verwendung von `String.toLowerCase()` und `String.toUpperCase()` weist einige lokalisierungsabhängige Ausnahmen auf, die möglicherweise dazu führen könnten, dass unbeabsichtigte Spalten abgefragt werden.

Dieses Problem betrifft mehrere Versionen von:

org.springframework.ldap:spring-ldap-core Paket,

Org.springframework.ldap:spring-ldap-odm Paket.

Dossier Schwachstellen
CVE-ID	38829
Schweregrad	Niedrig: 3,7
CWE-ID und Name	CWE-178 Unsachgemäße Behandlung von Groß- und Kleinschreibung
Betroffenes Projekt	^Spring® LDAP
Betroffene Pakete	spring-ldap-Kern spring-ldap-odm
Betroffene Versionen	All prior to 2.4.0, <2.4.0;2.4.3>, <3.0.0;3.0.9>, <3.1.0;3.1.7>, <3.2.0;3.2.7>
NVD-Veröffentlichungsdatum	4. Dezember 2024 (Spring.io: 19. November 2024)
Open-Source-Fixtermin	14. November 2024
Festgelegte Open-Source-Versionen	2.4.4

Detaillierte Untersuchung von38829

Betroffenes Produkt: ^Spring® LDAP
Betroffene Pakete:
- spring-ldap-core
- spring-ldap-odm
Betroffene Versionen:
- Alle Versionen vor 2.4.0
- 2.4.0 - 2.4.3
- 3.0.0 - 3.0.9
- 3.1.0 - 3.1.7
- 3.2.0 - 3.2.7
GitHub-Repository:
- https://github.com/spring-projects/spring-ldap
Veröffentlichte Pakete:
- https://mvnrepository.com/artifact/org.springframework.ldap/spring-ldap-core
- https://mvnrepository.com/artifact/org.springframework.ldap/spring-ldap-odm
Behoben in: Open-Source-Community-Version 2.4.4 (Dank: Josh Cummings) und in ELS for Spring LDAP v2.4.4.TuxCare, das auf Version 2.4.4 als Basis basiert.

Informationen zur Schwachstelle

Die Methoden String.toLowerCase() und String.toUpperCase() in Java verwenden lokalspezifische Regeln für die Umwandlung von Groß- und Kleinschreibung. Diese Regeln können sich je nach Gebietsschema stark unterscheiden, was zu unerwarteten Ergebnissen beim Vergleich oder der Umwandlung von Zeichenketten führen kann. Zum Beispiel hat das französische Gebietsschema eindeutige Groß-/Kleinschreibregeln für bestimmte Zeichen wie 'œ' und 'oe', im deutschen Gebietsschema 'ß' und 'ss', usw., die vom Standardverhalten abweichen.

Warum ist das ein Problem?

Der deutsche Kleinbuchstabe "ß" wird bei lokalisierungssensitiven Umwandlungen manchmal durch "ss" ersetzt.
Dies kann die Authentifizierung, Sicherheitsüberprüfungen oder Textvergleiche stören, wenn ein System "straße" erwartet, aber stattdessen "strasse" erhält.
Wenn ein Benutzername oder ein Kennwort ein "ß" enthält , kann es sein, dass es beim Vergleich von Zeichenketten ohne Berücksichtigung der Groß- und Kleinschreibung nicht richtig mit seinem Gegenstück in Großbuchstaben übereinstimmt, was zu Sicherheitslücken oder Authentifizierungsfehlern führt.

Schritte zum Reproduzieren

Einrichten einer^Spring® Security-Anwendung:
- Erstellen Sie eine^Spring® Boot-Anwendung mit^Spring® Security, die für die rollenbasierte Zugriffskontrolle konfiguriert ist.
Definieren Sie Rollen mit Fallvariationen:
- Weisen Sie Benutzern Rollen zu, deren Rollennamen sich nur in der Groß- und Kleinschreibung unterscheiden (z. B. "ADMIN" und "admin").
Implementierung der Fallumwandlung in der Autorisierungslogik:
- Binden Sie String.toLowerCase() oder String.toUpperCase() in die Autorisierungslogik ein, um Rollennamen zu normalisieren.
Setzen Sie das Anwendungsgebietsschema auf eines mit eindeutigen Fallregeln:
- Konfigurieren Sie die Anwendung so, dass sie ein Gebietsschema mit speziellen Groß- und Kleinschreibung verwendet, wie z. B. Türkisch (tr-TR), bei dem die Groß- und Kleinschreibungsregeln für bestimmte Zeichen, wie z. B. 'i' und 'I' im türkischen Gebietsschema, vom Standardverhalten abweichen können.
Versuch, auf geschützte Ressourcen zuzugreifen:
- Melden Sie sich als Benutzer mit einer bestimmten Rolle an und versuchen Sie, auf Ressourcen zuzugreifen, die durch eine rollenbasierte Zugriffskontrolle geschützt sind.

Milderung

^Spring® LDAP 2.4.x wird von der Open-Source-Community nicht mehr unterstützt, da sein End-of-Life-Datum der 30.06.2023 ist. Das bedeutet lediglich, dass die Version ab diesem Datum keine Updates mehr erhält, um dieses Problem zu beheben.

‍Benutzer der betroffenen Komponenten sollten eine der folgenden Abhilfemaßnahmen anwenden:

Implementieren Sie den Endless Lifecycle Support (ELS) von TuxCare für^Spring®, der langfristige Sicherheitspatches für auslaufende^{Spring®-Projekt} versionen bereitstellt, einschließlich der von dieser CVE betroffenen Versionen.
Aktualisieren Sie einfach auf die Open-Source-Community-Version 2.4.4 und nehmen Sie das Risiko in Kauf, keine weiteren Sicherheitsupdates von der Community zu erhalten.
Alternativ können Sie ein Upgrade auf die neueren, weiterhin unterstützten Open-Source-Versionen^{von Spring®} Security durchführen, in denen die Korrektur bereits integriert ist, z. B. 3.2.11.

Benötigen Sie eine Lösung für diese Sicherheitslücke für eine andere^Spring® Security-Version? Bitte kontaktieren Sie uns, wir helfen Ihnen gerne weiter!