38821

1. Versiones afectadas:
   - 5.6.12 y anteriores
   - 5.7.0 - 5.7.12
   - 5.8.0 - 5.8.14
   - 6.0.0 - 6.0.12
   - 6.1.0 - 6.1.10
   - 6.2.0 - 6.2.6
   - 6.3.0 - 6.3.3
2. Repositorio GitHub:
   - https://github.com/spring-projects/spring-security
3. Paquetes publicados:
   - https://mvnrepository.com/artifact/org.springframework.security/spring-security-web
4. Corregido en:
   • Versión 5.8.15 de la comunidad de código abierto (crédito: Rob Winch) y en ELS para^Spring® Security v5.8.15.TuxCare, que se basa en la versión 5.8.15 como referencia.

Las aplicaciones^Spring® WebFlux que utilizan el soporte de recursos estáticos^{de Spring®} y tienen reglas de autorización no permitAll aplicadas a ellas pueden, en condiciones específicas, ser vulnerables al acceso no autorizado a recursos estáticos. La vulnerabilidad puede explotarse si la aplicación cumple todos los criterios siguientes:

• Se trata de una aplicación WebFlux
• Utiliza el soporte de recursos estáticos^{de Spring®.}
• Tiene una regla de autorización non-permitAll aplicada al soporte de recursos estáticos

¿Por qué es un problema?

Cuando se cumplen todas las condiciones anteriores, la vulnerabilidad puede permitir el acceso no autorizado a recursos estáticos, exponiendo potencialmente información o funcionalidades sensibles.

Configurar una aplicación vulnerable:

• Cree una aplicación^Spring® WebFlux que sirva recursos estáticos (por ejemplo, archivos HTML, CSS y JavaScript).
• Implemente^Spring® Security con controles de acceso restrictivos en estos recursos estáticos (por ejemplo, exigiendo autenticación).

Intento de acceso no autorizado:

• Craft HTTP requests that manipulate the URL path to access the protected static resources.Cybersecurity News
• Por ejemplo, acceder a //index.html en lugar de /index.html puede saltarse los filtros de seguridad y permitir el acceso no autorizado a index.html.Noticias sobre ciberseguridad

Prueba de concepto (PoC): El investigador de seguridad Mouad Kondah ha proporcionado una explicación detallada y un exploit PoC que demuestra cómo esta vulnerabilidad puede ser explotada mediante la manipulación de rutas URL para eludir los filtros de seguridad aquí.

Mitigación

^Spring® Security 5.8.x ya no es compatible con la comunidad de código abierto, ya que su fecha de fin de vida útil fue el 31 de diciembre de 2023. Esto significa que la versión a partir de esa fecha no recibirá ninguna actualización para solucionar este problema.

‍Los usuarios de los componentes afectados deben aplicar una de las siguientes mitigaciones:

• Implemente el soporte de ciclo de vida ilimitado (ELS) de TuxCare para^Spring®, que ofrece parches de seguridad a largo plazo para las versiones del proyecto^Spring® que han llegado al final de su vida útil, incluidas las versiones afectadas por este CVE.
• Sólo tienes que actualizar a la versión 5.8.15 de código abierto de la comunidad y aceptar el riesgo de no recibir más actualizaciones de seguridad de la comunidad.
• Como alternativa, actualice a las versiones más recientes de código abierto^{de Spring®} Security que aún cuentan con soporte y que integran una corrección (por ejemplo, la versión 6.3.8).

Si necesita una solución para esta vulnerabilidad o para cualquier otra versión^{de Spring®} Security, póngase en contacto con nosotros, ¡estamos aquí para ayudarle!

Háganos una pregunta aquí.

Más información sobre el soporte técnico de ciclo de vida ilimitado para^Spring® aquí.

• https://nvd.nist.gov/vuln/detail/CVE-2024-38821
• https://spring.io/security/cve-2024-38821
• spring-proyectos/spring-seguridad@0e257b5
• spring-proyectos/spring-seguridad@4ce7cde
• https://security.netapp.com/advisory/ntap-20250124-0006
• https://stackoverflow.com/questions/11063102/using-locales-with-javas-tolowercase-and-touppercase
• https://securityonline.info/poc-exploit-releases-for-spring-webflux-authorization-bypass-cve-2024-38821/
• https://www.deep-kondah.com/spring-webflux-static-resource-access-vulnerability-cve-2024-38821-explained/?utm_source=chatgpt.com