38827

CNA: VMware
Gravedad: Media
Fecha de creación: 19 de noviembre de 2024
CWE-639: Anulación de autorización mediante clave controlada por el usuario
Afecta a: Versiones^{de Spring®} Security: 5.6.12 y anteriores, 5.7.0 a 6.3.3, excepto 5.7.14+, 5.8.16, 6.0.14+, 6.1.12+ y 6.2.8+.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

Este CVE ha sido resuelto por el equipo de TuxCare y
se ha enviado un parche a ELS para los usuarios^{de Spring®.}

Descubre ELS for^Spring®

Síganos en las redes sociales

Visión general

^Spring® Security es un potente marco de autenticación y control de acceso para aplicaciones Java, especialmente aquellas creadas con^Spring® Framework. Proporciona una solución de seguridad integral que aborda diversas cuestiones, como la autenticación, la autorización y la protección contra vulnerabilidades de seguridad comunes.

La elusión de la autorización a través de la clave controlada por el usuario tiene lugar cuando la funcionalidad de autorización del sistema no impide que un usuario acceda a los datos o al registro de otro usuario modificando el valor de la clave que identifica los datos.

En este CVE, ^Spring® Security se ve afectado por el bypass de autorización para comparaciones con distinción entre mayúsculas y minúsculas en^Spring® Security. Es equivalente al CVE-2024-38820, pero para^Spring® Security. El uso de String.toLowerCase() y String.toUpperCase() tiene algunas excepciones dependientes de la configuración regional que podrían dar lugar a que las reglas de autorización no funcionen correctamente.

Este problema afecta a varias versiones de:
paqueteorg.springframework.security:spring-security-taglibs.
paquete org.springframework. security:spring-security-cas, paquete org.springframework.security:spring-security-config,
paqueteorg.springframework.security:spring-security-core,
paqueteorg.springframework.security:spring-security-crypto,
el paqueteOrg.springframework.security:spring-security-data,
paquete org . springframework.security:spring-security-ldap, paquete org. springframework .security:spring-security-oauth2-client, paquete org.springframework.security:spring-security-taglibs, paquete org.springframework.security:spring-security-web.

Dossier de vulnerabilidad
ID de la CVE	38827
Severidad	Media: 4,8
ID y nombre del CWE	CWE-639 Anulación de autorización mediante clave controlada por el usuario
Proyecto afectado	Spring^® Security
Paquetes afectados	spring-security-cas spring-security-config spring-security-core spring-security-crypto spring-security-datos spring-security-ldap spring-security-oauth2-client spring-security-taglibs spring-security-web
Versiones afectadas	5.6.2 and older, <5.7.0;5.7.13>, <5.8.0;5.8.15>, <6.0.0;6.0.13>, <6.1.0;6.1.11>, <6.2.0;6.2.7>, <6.3.0;6.3.4>
Fecha de publicación de NVD	2 de diciembre de 2024 (Spring.io: 19 de noviembre de 2024)
Fecha de fijación del código abierto	18 de noviembre de 2024
Versiones fijas de código abierto	5.8.16

Exploración detallada de38827

Producto afectado: ^Spring® Security
Paquetes afectados:
- spring-security-cas
- spring-security-config
- spring-security-núcleo
- spring-security-crypto
- spring-security-datos
- spring-security-ldap
- spring-security-oauth2-client
- spring-security-taglibs
- spring-security-web
Versiones afectadas:
- 5.6.12 y anteriores
- 5.7.0 - 5.7.13
- 5.8.0 - 5.8.15
- 6.0.0 - 6.0.13
- 6.1.0 - 6.1.11
- 6.2.0 - 6.2.7
- 6.3.0 - 6.3.
Repositorio GitHub:
- https://github.com/spring-projects/spring-security
Paquetes publicados:
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-config
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-core
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-crypto
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-data
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-ldap
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-oauth2-client
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-taglibs
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-web https://mvnrepository.com/artifact/org.springframework.security/spring-security-cas

Corregido en: Versión comunitaria de código abierto 5.6.16 (crédito: Joe Grandja) y en ELS para^Spring® Security v5.8.16.TuxCare, que se basa en la versión 5.8.16 como referencia.

Información sobre vulnerabilidades

Los métodos String.toLowerCase() y String.toUpperCase() de Java utilizan reglas específicas de la configuración regional para la conversión de mayúsculas y minúsculas. Estas reglas pueden ser muy diferentes en función de la configuración regional, lo que puede dar lugar a resultados inesperados al comparar o transformar cadenas. Por ejemplo, la configuración regional francesa tiene reglas únicas de conversión de mayúsculas y minúsculas para ciertos caracteres como 'œ' y 'oe', en la configuración regional alemana 'ß' y 'ss', etc. que se desvían del comportamiento por defecto.

¿Por qué es un problema?

La "ß" minúscula alemana se sustituye a veces por "ss" en las transformaciones sensibles a la localización.
Esto puede interrumpir la autenticación, las comprobaciones de seguridad o las comparaciones de texto si un sistema espera "straße" pero en su lugar obtiene "strasse".
Si un nombre de usuario o contraseña contiene "ß", es posible que no coincida correctamente con su homólogo en mayúsculas en las comparaciones de cadenas insensibles a mayúsculas y minúsculas, lo que provocaría vulnerabilidades de seguridad o fallos de autenticación.

Pasos para reproducir

Configurar una aplicación de seguridad^Spring®:
- Cree una aplicación^Spring® Boot con^Spring® Security configurada para el control de acceso basado en roles.
Definir Roles con Variaciones de Caso:
- Asignar funciones a usuarios cuyos nombres de función sólo difieran en mayúsculas (por ejemplo, "ADMIN" y "admin").
Implementar la transformación de casos en la lógica de autorización:
- Incorpore String.toLowerCase() o String.toUpperCase() en la lógica de autorización para normalizar los nombres de rol.
Establezca la configuración regional de la aplicación en una con reglas de caso únicas:
- Configurar la aplicación para utilizar una configuración regional con asignaciones especiales de mayúsculas y minúsculas, como el turco (tr-TR), donde, por ejemplo, las reglas de asignación de mayúsculas y minúsculas para determinados caracteres, como "i" e "I" en la configuración regional turca, pueden diferir del comportamiento predeterminado.
Intento de acceder a recursos protegidos:
- Inicie sesión como usuario con un rol específico e intente acceder a recursos protegidos por un control de acceso basado en roles.

Mitigación

^Spring® Security 5.8.x ya no es compatible con la comunidad de código abierto, ya que su fecha de fin de vida útil es el 31 de diciembre de 2023. Esto simplemente significa que las versiones posteriores a esa fecha no recibirán ninguna actualización para solucionar este problema.

‍Los usuarios de los componentes afectados deben aplicar una de las siguientes mitigaciones:

Aproveche el soporte de ciclo de vida ilimitado de TuxCare, que amplía el soporte de seguridad EOL habitual de la comunidad y, a continuación, aplique simplemente nuestros parches.
Sólo tienes que actualizar a la versión 5.8.16 de código abierto de la comunidad y aceptar el riesgo de no recibir más actualizaciones de seguridad de la comunidad.
Como alternativa, actualice a las versiones más recientes de código abierto^{de Spring®} Security que aún cuentan con soporte y que incluyen la corrección integrada, por ejemplo, la versión 6.3.8.

¿Necesita una solución para esta vulnerabilidad en alguna otra versión^{de Spring®} Security? Póngase en contacto con nosotros, ¡estamos aquí para ayudarle!