38819

CNA: VMware
Gravedad: Alta
Fecha de creación: 17 de octubre de 2024
CWE-22: Limitación incorrecta de un nombre de ruta a un directorio restringido ('Path Traversal')
Afecta a: Versiones del marco^Spring®: todas las versiones anteriores a la 6.1.14, excepto la 5.3.39.tuxcare.3.
CVSS:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Este CVE ha sido resuelto por el equipo de TuxCare y
se ha enviado un parche a ELS para los usuarios^{de Spring®.}

Descubre ELS for^Spring®

Síganos en las redes sociales

Visión general

^Spring® Framework es un marco de trabajo completo y de código abierto para crear aplicaciones Java. Proporciona inyección de dependencias (DI), programación orientada a aspectos (AOP) y gestión de transacciones, lo que hace que el desarrollo Java sea más modular y eficiente.

^Spring® Web es un módulo del marco^Spring® diseñado para crear aplicaciones web y servicios RESTful en Java. Proporciona funcionalidades web esenciales, como el manejo de solicitudes basadas en servlets, compatibilidad con API REST y integración con^Spring® Web MVC, un módulo del marco^Spring® que proporciona una potente arquitectura Modelo-Vista-Controlador (MVC) para crear aplicaciones web. ^Spring® WebFlux es un marco web reactivo y sin bloqueos introducido en^Spring® 5. Está diseñado para gestionar aplicaciones web asíncronas y basadas en eventos utilizando Project Reactor (flujos reactivos).

La limitación incorrecta de un nombre de ruta a un directorio restringido ("Path Traversal") tiene lugar cuando el producto utiliza una entrada externa para construir un nombre de ruta que pretende identificar un archivo o directorio que se encuentra debajo de un directorio principal restringido, pero el producto no neutraliza correctamente los elementos especiales dentro del nombre de ruta que pueden hacer que el nombre de ruta se resuelva en una ubicación que se encuentra fuera del directorio restringido.

CVE-2024-38819, una vulnerabilidad de recorrido de ruta de alta gravedad, afecta a las aplicaciones que utilizan los marcos web funcionales WebMvc.fn o WebFlux.fn para servir recursos estáticos. Los atacantes pueden aprovechar esta vulnerabilidad creando solicitudes HTTP maliciosas que les permiten recuperar cualquier archivo del sistema de archivos al que pueda acceder el proceso de la aplicación^Spring®.

Este problema afecta a varias versiones de:

org.springframework:spring-webflux
paquete,

org.springframework:spring-webmvc
paquete.

Dossier de vulnerabilidad
ID de la CVE	38819
Severidad	Alta: 7,5
ID y nombre del CWE	CWE-22: Limitación incorrecta de un nombre de ruta a un directorio restringido ('Path Traversal')
Proyecto afectado	Spring^® Framework
Paquetes afectados	spring-webflux spring-webmvc
Versiones afectadas	All prior 5.3.0, <5.3.0;5.3.40>,<6.0.0;6.0.24>,<6.1.0;6.1.13>
NVD Fecha de publicación	19 de diciembre de 2024 (Spring.io: 17 de octubre de 2024)
TuxCare fix date	19 de marzo de 2025
TuxCare versión fija	5.3.39tuxcare.3

Exploración detallada de38819

Producto afectado:^Spring® Framework
Paquetes afectados:
- spring-webflux
- spring-webmvc
Versiones afectadas:
- Todos los anteriores a 5.3.0
- 5.3.0 – 5.3.40
- 6.0.0 – 6.0.24
- 6.1.0 – 6.1.13
Repositorio GitHub: https://github.com/spring-projects/spring-framework
Paquetes publicados:

https://mvnrepository.com/artifact/org.springframework/spring-webflux

https://mvnrepository.com/artifact/org.springframework/spring-webmvc

Corregido en: ELS para^Spring® Framework: spring-web v5.3.39.TuxCare.3, que se basa en la última versión de código abierto de la comunidad 5.3.39 como referencia, a la que se han aplicado todos los parches de TuxCare.

En aplicaciones donde:

Los recursos estáticos se sirven mediante RouterFunctions
El manejo de recursos se configura explícitamente con una ubicación FileSystemResource.

Un atacante puede crear peticiones HTTP maliciosas para realizar ataques de path traversal, accediendo potencialmente a cualquier archivo en el sistema de archivos del servidor que el proceso de aplicación tenga permiso para leer.

¿Por qué es un problema?

Elude la protección estática de recursos

En aplicaciones que utilizan RouterFunctions y sirven archivos desde el sistema de archivos (por ejemplo, con FileSystemResource), los atacantes pueden solicitar rutas como:

/public/../../../../etc/passwd

...leer archivos sensibles.

Expone información sensible
- Los atacantes pueden leer archivos como:
  - /etc/passwd (información de usuario)
  - Archivos de configuración con credenciales
  - Código fuente, registros o claves privadas
Puede dar lugar a más exploits
- La información filtrada puede ayudar a los atacantes:
  - Escalar privilegios
  - Realizar la inclusión local de archivos (LFI)
  - Montar otros ataques (por ejemplo, SSRF, RCE)
Funciona en aplicaciones reactivas y tradicionales

Afecta tanto a las aplicaciones ^Spring® WebFlux.fn como a las ^Spring® WebMvc.fn, por lo que es relevante en diferentes pilas web.

Pasos para reproducir

Requisitos previos

^Spring® Framework 5.3.0 a 5.3.40, 6.0.0 a 6.0.24 o 6.1.0 a 6.1.13
^Spring® WebFlux o^Spring® WebMvc utilizando enrutamiento funcional (RouterFunctions)
Un archivo o directorio expuesto mediante FileSystemResource

1. Crear una aplicación^Spring® Boot utilizando WebFlux o WebMvc.fn.

@Configuración

public class StaticResourceConfig {

@Bean

public RouterFunction<ServerResponse> staticRoutes() {

return RouterFunctions.resources("/archivos/**", new FileSystemResource("/su/servidor/ruta"));

}

Esto expone archivos de /su/servidor/ruta bajo /archivos/ruta URL.

2. Añada un archivo de muestra en la ruta expuesta

/su/servidor/ruta/index.html

3. Ejecutar la aplicación

Navega hasta:

http://localhost:8080/files/index.html

✅ Debería funcionar y devolver el archivo.

4. Intentar un ataque path traversal

Intenta acceder:

http://localhost:8080/files/../../../etc/passwd

o, si está codificado:

http://localhost:8080/files/..%2f..%2f..%2f..%2fetc%2fpasswd

Si es vulnerable, la aplicación responderá con el contenido de /etc/passwd (o cualquier archivo legible fuera del directorio permitido).

Resultado esperado (Vulnerable)

El servidor devuelve el contenido de los archivos restringidos fuera de la carpeta /files/ prevista.
Esto confirma que el ataque path traversal funcionó.

Mitigación

^Spring® Framework 5.3.x ya no es compatible con la comunidad de código abierto, ya que su fecha de fin de vida útil es el 30 de junio de 2023. Esto simplemente significa que la versión a partir de esa fecha no recibirá ninguna actualización para solucionar este problema.

‍Los usuarios de los componentes afectados deben aplicar una de las siguientes mitigaciones:

Aproveche el soporte de ciclo de vida ilimitado de TuxCare, que amplía el soporte de seguridad de fin de ciclo de vida habitual de la comunidad y, a continuación, sólo tiene que aplicar nuestros parches.
Actualice a la versión de código abierto de la comunidad 6.1.14 y acepte el riesgo de no recibir más actualizaciones de seguridad de la comunidad a partir del 30 de junio de 2025.
Como alternativa, actualiza a las últimas versiones de código abierto^{de Spring®} Framework, que siguen recibiendo soporte durante más de un año y no se ven afectadas, por ejemplo, la 6.2.5.
Utilizar ClassPathResource para archivos estáticos en lugar de FileSystemResource
Validar y normalizar manualmente las rutas antes de resolver los recursos

¿Necesita una solución para esta vulnerabilidad en cualquier otra versión^{de Spring®} Framework? Póngase en contacto con nosotros, ¡estamos aquí para ayudarle!