Exploración detallada de22235
- Producto afectado:Spring® Boot
- Paquetes afectados: spring-boot-actuator-autconfigure
- Versiones afectadas:
- 2.7.0 – 2.7.24.2
- 3.1.0 – 3.1.15.2
- 3.2.0 – 3.2.13.2
- 3.3.0 – 3.3.10
- 3.4.0 – 3.4.4
- Las versiones anteriores no compatibles también se ven afectadas.
Corregido en: ELS paraSpring® Boot v2.7.18.TuxCare.6
Información sobre vulnerabilidades
EnSpring® Boot, EndpointRequest.to() crea un comparador para null/** si el punto final del actuador, para el que se ha creado EndpointRequest, está desactivado o no está expuesto.
Mitigación
Spring® Boot 2.7.x ya no es compatible con la comunidad de código abierto, ya que su fecha de fin de vida útil es el 30 de junio de 2023. Esto simplemente significa que, a partir de esa fecha, la versión no recibirá ninguna actualización para solucionar este problema.
Los usuarios de los componentes afectados deben aplicar una de las siguientes mitigaciones:
- Aproveche el socio de asistencia de TuxCare para obtener asistencia durante todo el ciclo de vida, que amplía la asistencia de seguridad EoL habitual de la comunidad, y limítese a aplicar nuestros parches.
- Actualiza a la versión 3.3.11+ de código abierto de la comunidad y acepta el riesgo de no recibir más actualizaciones de seguridad de la comunidad a partir del 30 de junio de 2005.
- Como alternativa, actualice a las últimas versiones compatiblesde Spring® Framework de código abierto que no se ven afectadas, por ejemplo, 3.4.5+, y obtenga asistencia de la comunidad hasta finales de 2025.
- No procese peticiones a `/null`. Si es necesario procesar `/null`, asegúrese de que existen medidas de seguridad sólidas.
- Verificar que los endpoints referenciados por `EndpointRequest.to()` están correctamente expuestos, habilitados y accesibles a través de la web.
¿Necesita una solución para esta vulnerabilidad en cualquier otra versiónde Spring® Boot? Póngase en contacto con nosotros, ¡estamos aquí para ayudarle!
Soporte técnico
Documentación
Inicio de sesión
Contáctenos
