38827

CNA: VMware
Gravité: Moyenne
Date de création: 19 novembre 2024
CWE-639: Contournement de l'autorisation par une clé contrôlée par l'utilisateur
Affecte:^Spring® Security versions : 5.6.12 et antérieures, 5.7.0 à 6.3.3, à l'exception des versions 5.7.14+, 5.8.16, 6.0.14+, 6.1.12+ et 6.2.8+.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

Ce CVE a été résolu par l'équipe TuxCare et
un correctif a été fourni à ELS pour les utilisateurs^{de Spring®.}

Découvrez ELS for^Spring®

Suivez-nous sur les réseaux sociaux

Vue d'ensemble

^Spring® Security est un puissant framework d'authentification et de contrôle d'accès pour les applications Java, en particulier celles développées à l'aide^du framework^Spring®. Il fournit une solution de sécurité complète, répondant à divers besoins tels que l'authentification, l'autorisation et la protection contre les vulnérabilités de sécurité courantes.

Il y a contournement de l'autorisation par le biais d'une clé contrôlée par l'utilisateur lorsque la fonctionnalité d'autorisation du système n'empêche pas un utilisateur d'accéder aux données ou à l'enregistrement d'un autre utilisateur en modifiant la valeur de la clé qui identifie les données.

Dans cette vulnérabilité CVE, ^Spring® Security est affecté par un contournement d'autorisation pour les comparaisons sensibles à la casse dans^Spring® Security. Elle est équivalente à la vulnérabilité CVE-2024-38820, mais concerne^Spring® Security. L'utilisation de String.toLowerCase() et String.toUpperCase() comporte certaines exceptions dépendantes des paramètres régionaux qui pourraient empêcher les règles d'autorisation de fonctionner correctement.

Ce problème affecte plusieurs versions du paquetage :
le paquetorg.springframework.security:spring-security-taglibs.
org.springframework.security:spring-security-cas, org.springframework.security:spring-security-config,
le paquetOrg.springframework.security:spring-security-core,
paquetOrg.springframework.security:spring-security-crypto,
Org.springframework.security:spring-security-data package,
Org.springframework.security:spring-security-ldap package, org.springframework.security:spring-security-oauth2-client package, org.springframework.security:spring-security-taglibs package, org.springframework.security:spring-security-web package.

Dossier de vulnérabilité
ID CVE	38827
Sévérité	Moyenne : 4,8
CWE-ID et nom	CWE-639 Contournement de l'autorisation par une clé contrôlée par l'utilisateur
Projet concerné	Sécurité^Spring®
Paquets concernés	spring-security-cas spring-security-config spring-security-core spring-security-crypto spring-security-data spring-security-ldap spring-security-oauth2-client spring-security-taglibs spring-security-web
Versions concernées	5.6.2 and older, <5.7.0;5.7.13>, <5.8.0;5.8.15>, <6.0.0;6.0.13>, <6.1.0;6.1.11>, <6.2.0;6.2.7>, <6.3.0;6.3.4>
Date de publication de la NVD	2 décembre 2024 (Spring.io : 19 novembre 2024)
Date de fixation de la source ouverte	18 novembre 2024
Versions fixes de l'Open Source	5.8.16

Exploration détaillée de38827

Produit concerné : ^Spring® Security
Paquets affectés :
- spring-security-cas
- spring-security-config
- spring-security-core
- spring-security-crypto
- spring-security-data
- spring-security-ldap
- spring-security-oauth2-client
- spring-security-taglibs
- spring-security-web
Versions affectées :
- 5.6.12 et antérieures
- 5.7.0 - 5.7.13
- 5.8.0 - 5.8.15
- 6.0.0 - 6.0.13
- 6.1.0 - 6.1.11
- 6.2.0 - 6.2.7
- 6.3.0 - 6.3.
Dépôt GitHub :
- https://github.com/spring-projects/spring-security
Paquets publiés :
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-config
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-core
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-crypto
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-data
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-ldap
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-oauth2-client
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-taglibs
- https://mvnrepository.com/artifact/org.springframework.security/spring-security-web https://mvnrepository.com/artifact/org.springframework.security/spring-security-cas

Corrigé dans : version communautaire open source 5.6.16 (crédit : Joe Grandja) et dans ELS pour^Spring® Security v5.8.16.TuxCare, qui s'appuie sur la version 5.8.16 comme base de référence.

Informations sur les vulnérabilités

Les méthodes String.toLowerCase() et String.toUpperCase() en Java utilisent des règles locales spécifiques pour la conversion de la casse. Ces règles peuvent varier considérablement en fonction de la locale, ce qui peut conduire à des résultats inattendus lors de la comparaison ou de la transformation de chaînes de caractères. Par exemple, la locale française a des règles de conversion de casse uniques pour certains caractères comme 'œ' et 'oe', dans la locale allemande 'ß' et 'ss', etc. qui s'écartent du comportement par défaut.

Pourquoi est-ce un problème ?

La minuscule allemande "ß" est parfois remplacée par "ss" dans les transformations sensibles aux spécificités locales.
Cela peut perturber l'authentification, les contrôles de sécurité ou les comparaisons de texte si un système s'attend à recevoir "straße" mais obtient "strasse" à la place.
Si un nom d'utilisateur ou un mot de passe contient "ß", il peut ne pas correspondre correctement à son équivalent en majuscules dans les comparaisons de chaînes insensibles à la casse, ce qui entraîne des failles de sécurité ou des échecs d'authentification.

Étapes de la reproduction

Configurer une application^Spring® Security :
- Créer une application^Spring® Boot avec^Spring® Security configuré pour le contrôle d'accès basé sur les rôles.
Définir des rôles avec des variantes de cas :
- Attribuer des rôles à des utilisateurs dont les noms ne diffèrent que par la casse (par exemple, "ADMIN" et "admin").
Mettre en œuvre la transformation des cas dans la logique d'autorisation :
- Incorporer String.toLowerCase() ou String.toUpperCase() dans la logique d'autorisation pour normaliser les noms de rôle.
Définissez le lieu de l'application comme étant un lieu avec des règles de casse uniques :
- Configurer l'application pour qu'elle utilise une locale avec des correspondances spéciales, comme le turc (tr-TR), où, par exemple, les règles de correspondance des majuscules pour certains caractères, comme "i" et "I" dans la locale turque, peuvent différer du comportement par défaut.
Tentative d'accès à des ressources protégées :
- Se connecter en tant qu'utilisateur ayant un rôle spécifique et tenter d'accéder à des ressources protégées par un contrôle d'accès basé sur les rôles.

Atténuation

^Spring® Security 5.8.x n'est plus pris en charge par la communauté open source, car sa date de fin de vie est fixée au 31 décembre 2023. Cela signifie simplement que les versions postérieures à cette date ne bénéficieront d'aucune mise à jour pour résoudre ce problème.

‍Les utilisateurs des composants concernés doivent appliquer l'une des mesures d'atténuation suivantes :

Tirez parti de l'assistance TuxCare Endless Lifecycle Support, qui prolonge l'assistance de sécurité EOL régulière de la communauté, puis appliquez simplement nos correctifs.
Il suffit de passer à la version 5.8.16 de la communauté open source et d'accepter le risque de ne plus recevoir de mises à jour de sécurité de la part de la communauté.
Sinon, faites l'effort de passer aux versions open source^Spring® Security plus récentes et toujours prises en charge qui intègrent le correctif, par exemple la version 6.3.8.

Avez-vous besoin d'un correctif pour cette vulnérabilité pour une autre version^{de Spring®} Security ? N'hésitez pas à nous contacter, nous sommes là pour vous aider !