38821

CNA : VMware
Gravité : Critique
Date de création : 22 octobre 2024
CWE-770 : Allocation de ressources sans limites ni restrictions
Affecte :^Spring® Security versions : 5.6.12 et antérieures, 5.7.0 à 6.3.3, à l'exception des versions 5.7.13+, 5.8.15+, 6.0.13+, 6.1.11+, 6.2.7+ et 6.3.4.
CVSS:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Ce CVE a été résolu par l'équipe TuxCare et
un correctif a été fourni à ELS pour les utilisateurs^{de Spring®.}

Découvrez ELS for^Spring®

Suivez-nous sur les réseaux sociaux

Vue d'ensemble

^Spring® Security est un puissant framework d'authentification et de contrôle d'accès pour les applications Java, en particulier celles développées à l'aide du framework^Spring®. Il fournit une solution de sécurité complète, répondant à divers besoins tels que l'authentification, l'autorisation et la protection contre les vulnérabilités de sécurité courantes.

"L'allocation de ressources sans limites ou "Throttling" a lieu lorsque le produit alloue une ressource réutilisable ou un groupe de ressources pour le compte d'un acteur sans imposer de restrictions sur la taille ou le nombre de ressources qui peuvent être allouées, en violation de la politique de sécurité prévue pour cet acteur.

CVE-2024-38821 est une vulnérabilité critique de contournement d'autorisation identifiée dans les applications ^Spring® WebFlux qui utilisent ^Spring® Security pour le contrôle d'accès aux ressources statiques. Cette faille permet à des utilisateurs non autorisés d'accéder à des ressources statiques restreintes dans des conditions spécifiques.

Ce problème affecte plusieurs versions du paquetage org.springframework.security:spring-security-web.

Dossier de vulnérabilité
ID CVE	38821
Sévérité	Critique : 9.1
CWE-ID et nom	CWE-770 : Allocation des ressources des ressources sans limites sans limites ni étranglement
Projet concerné	Sécurité^Spring®
Paquets concernés	spring-security-web
Versions concernées	5.6.2 and older, <5.7.0;5.7.12>, <5.8.0;5.8.14>, <6.0.0;6.0.12>, <6.1.0;6.1.10>, <6.2.0;6.2.6>, <6.3.0;6.3.3>
Date de publication de la NVD	28 octobre 2024 (Spring.io : 22 octobre 2024) octobre 2024)
Date de fixation de la source ouverte	21 octobre 2024
Versions fixes de l'Open Source	5.8.15

Exploration détaillée de38821

Versions affectées :
- 5.6.12 et antérieures
- 5.7.0 - 5.7.12
- 5.8.0 - 5.8.14
- 6.0.0 - 6.0.12
- 6.1.0 - 6.1.10
- 6.2.0 - 6.2.6
- 6.3.0 - 6.3.3
Dépôt GitHub :
- https://github.com/spring-projects/spring-security
Paquets publiés :
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-web
Corrigé dans :
• version communautaire open source 5.8.15 (crédit : Rob Winch) et dans ELS pour^Spring® Security v5.8.15.TuxCare   qui s'appuie sur la version 5.8.15 comme base de référence.

Les applications^Spring® WebFlux qui utilisent les ressources statiques^{de Spring®} et auxquelles s'appliquent des règles d'autorisation non « permitAll » peuvent, dans certaines conditions spécifiques, être vulnérables à un accès non autorisé aux ressources statiques. La vulnérabilité peut être exploitée si l'application répond à tous les critères suivants :

Il s'agit d'une application WebFlux
Il utilise la prise en charge des ressources statiques^{de Spring®.}
Une règle d'autorisation "non-permitAll" est appliquée à la prise en charge des ressources statiques.

Pourquoi est-ce un problème ?

Lorsque toutes les conditions ci-dessus sont réunies, la vulnérabilité peut permettre un accès non autorisé à des ressources statiques, exposant potentiellement des informations ou des fonctionnalités sensibles.

Étapes de la reproduction

Mise en place d'une application vulnérable :

Créer une application^Spring® WebFlux qui fournit des ressources statiques (par exemple, des fichiers HTML, CSS, JavaScript).
Implémentez^Spring® Security avec des contrôles d'accès restrictifs sur ces ressources statiques (par exemple, en exigeant une authentification).

Tentative d'accès non autorisé :

Créer des requêtes HTTP qui manipulent le chemin d'accès à l'URL pour accéder aux ressources statiques protégées.Cybersecurity News
Par exemple, l'accès à //index.html au lieu de /index.html peut contourner les filtres de sécurité et permettre un accès non autorisé à index.html.Nouvelles sur la cybersécurité

Preuve de concept (PoC) : Le chercheur en sécurité Mouad Kondah a fourni une explication détaillée et un PoC démontrant comment cette vulnérabilité peut être exploitée en manipulant les chemins d'URL pour contourner les filtres de sécurité ici.

Atténuation

^Spring® Security 5.8.x n'est plus pris en charge par la communauté open source, car sa date de fin de vie était le 31 décembre 2023. Cela signifie que la version à partir de cette date ne recevra aucune mise à jour pour résoudre ce problème.

‍Les utilisateurs des composants concernés doivent appliquer l'une des mesures d'atténuation suivantes :

Mettez en œuvre le support Endless Lifecycle Support (ELS) de TuxCare pour^Spring®, qui fournit des correctifs de sécurité à long terme pour les versions de fin de vie du projet^Spring®, y compris les versions concernées par cette vulnérabilité CVE.
Il suffit de passer à la version 5.8.15 de la communauté open-source et d'accepter le risque de ne plus recevoir de mises à jour de sécurité de la part de la communauté.
Vous pouvez également effectuer la mise à niveau vers les versions open source^Spring® Security plus récentes et toujours prises en charge qui intègrent un correctif (par exemple, la version 6.3.8).

Si vous avez besoin d'une solution pour cette vulnérabilité ou pour toute autre version^{de Spring®} Security, n'hésitez pas à nous contacter, nous sommes là pour vous aider !

Posez-nous une question ici.

Pour en savoir plus sur le support Endless Lifecycle Support pour^Spring®, cliquez ici.