38828

CNA: VMware
Gravedad: Media
Fecha de creación: 15 de noviembre de 2024
CWE-400: Consumo incontrolado de recursos
Afecta a:^Spring® Framework: Spring-web versiones: todas anteriores a 5.3.0, desde 5.3.0 hasta 5.3.41, excluyendo 5.3.39.tuxcare.4
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Nota: en la versión 5.3.39.tuxcare.4 aplicamos nuestro parche a la última versión disponible de la comunidad de código abierto como línea de base.

Este CVE ha sido resuelto por el equipo de TuxCare y
se ha enviado un parche a ELS para los usuarios^{de Spring®.}

Descubre ELS for^Spring®

Síganos en las redes sociales

Visión general

^Spring® Framework es un marco de trabajo completo y de código abierto para crear aplicaciones Java. Proporciona inyección de dependencias (DI), programación orientada a aspectos (AOP) y gestión de transacciones, lo que hace que el desarrollo Java sea más modular y eficiente.

^Spring® Web es un módulo de^Spring® Framework diseñado para crear aplicaciones web y servicios RESTful en Java. Proporciona funcionalidades web esenciales, como el manejo de solicitudes basadas en servlets, compatibilidad con API REST y integración con^Spring® Web MVC, que es un módulo dentro de^Spring® Framework que proporciona una potente arquitectura Modelo-Vista-Controlador (MVC) para crear aplicaciones web.

El consumo incontrolado de recursos puede dar lugar a una situación en la que el producto no controle adecuadamente la asignación y el mantenimiento de un recurso limitado, lo que permite a un actor influir en la cantidad de recursos consumidos, llevando finalmente al agotamiento de los recursos disponibles.

CVE-2024-38828 identifica una vulnerabilidad de denegación de servicio (DoS) en el módulo ^Spring® MVC de^{Spring® Framework}. Concretamente, los métodos del controlador que utilizan la anotación @RequestBody con un parámetro byte[] son susceptibles. Un atacante puede aprovechar esto enviando una gran carga útil, lo que provoca un consumo excesivo de memoria y posibles fallos en la aplicación.

Este problema afecta a varias versiones de:

org.springframework: paquete spring-web.

Dossier de vulnerabilidad
ID de la CVE	38828
Severidad	Media: 5,3
ID y nombre del CWE	CWE-287: Improper Autenticación
Paquetes afectados	spring-security-crypto
Paquetes afectados	spring-web
Versiones afectadas	All prior 5.3.0, <5.3.0;5.3.41>
Fecha de publicación del NVD	17 de noviembre de 2024 (Spring.io: 15 de noviembre de 2024)
TuxCare fix date	28 de marzo de 2025
TuxCare versión fija	5.3.39tuxcare.4

Exploración detallada de38828

Producto afectado:^Spring® Framework
Paquetes afectados: spring-web
Versiones afectadas:
- Todas las anteriores a 5.3.0
Repositorio GitHub:
- https://github.com/spring-projects/spring-framework
Paquetes publicados:
- https://mvnrepository.com/artifact/org.springframework/spring-web

Corregido en: ELS para^Spring® Framework: spring-web v5.3.39.TuxCare.4, que se basa en la última versión de código abierto de la comunidad 5.3.39 como referencia, a la que se han aplicado todos los parches de TuxCare.

Información sobre vulnerabilidades

El módulo Spring ^®MVCdel^{marco Spring®} contiene una vulnerabilidad de denegación de servicio (DoS), identificada como CVE-2024-38828. Los atacantes pueden explotar los métodos del controlador que utilizan la anotación @RequestBody con un parámetro byte[] enviando una gran carga útil, lo que provoca un consumo excesivo de memoria y posibles fallos en la aplicación.

¿Por qué es un problema?

Un atacante podría crear una entrada intencionadamente grande que, de ser aceptada por un servidor, asignaría una gran cantidad de memoria, lo que podría provocar una excepción por falta de memoria; suena a un ataque de denegación de servicio, ¿no?
El servidor es vulnerable a las excepciones por falta de memoria debido a que acepta peticiones de tamaño arbitrario, que convierte directamente en matrices de bytes. Este problema puede mitigarse en cierta medida utilizando un flujo de entrada para gestionar las cargas útiles de gran tamaño y estableciendo un límite máximo para el tamaño de las peticiones a nivel de servidor. Aunque no es una solución perfecta, estas medidas pueden ayudar a prevenir caídas del servidor debidas a limitaciones de recursos.

Mitigación

^Spring® Framework 5.3.x ya no es compatible con la comunidad de código abierto, ya que su fecha de fin de vida útil es el 30 de junio de 2023. Esto simplemente significa que la versión a partir de esa fecha no recibirá ninguna actualización para solucionar este problema.

‍Los usuarios de los componentes afectados deben aplicar una de las siguientes mitigaciones:

Aproveche el soporte del ciclo de vida infinito de TuxCare, que amplía el soporte de seguridad EoL habitual de la comunidad; después, sólo tiene que aplicar nuestros parches.
En versiones no soportadas, considere reemplazar @RequestBody byte[] con InputStream para manejar los datos de la solicitud de forma más segura.
Como alternativa, actualice a las versiones más recientes y aún compatibles^{del marco} de código abierto^Spring® Framework que han integrado la corrección (por ejemplo, 6.1.x o 6.2.x).

¿Necesita una solución para esta vulnerabilidad en cualquier otra versión^{de Spring®} Framework? Póngase en contacto con nosotros, ¡estamos aquí para ayudarle!