38829

CNA: VMware
Gravité: Faible
Date de création: 19 novembre 2024
CWE-178: Traitement incorrect de la sensibilité à la casse
Affecte: versions^Spring® LDAP : toutes les versions antérieures à 2.4.0, de 2.4.0 à 2.4.3, de 3.0.0 à 3.0.9, de 3.1.0 à 3.1.7, de 3.2.0 à 3.2.7.
CVSS: 3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N

Ce CVE a été résolu par l'équipe TuxCare et
un correctif a été fourni à ELS pour les utilisateurs^{de Spring®.}

Découvrez ELS for^Spring®

Suivez-nous sur les réseaux sociaux

Vue d'ensemble

^Spring® LDAP est un framework qui simplifie l'intégration LDAP (Lightweight Directory Access Protocol) pour les applications Java. Il fournit une approche basée sur des modèles pour interagir avec les annuaires LDAP, éliminant ainsi le besoin d'un code bas niveau complexe.

Une mauvaise gestion de la sensibilité à la casse peut conduire à une situation où le produit ne prend pas correctement en compte les différences de sensibilité à la casse lors de l'accès ou de la détermination des propriétés d'une ressource, ce qui conduit à des résultats incohérents.

Dans cette vulnér abilité CVE-2024-38829, ^Spring® LDAP est affecté par une exposition de données sensibles lors de comparaisons tenant compte de la casse. Il s'agit d'un équivalent de la vulnérabilité CVE-2024-38820, mais concernant^Spring® LDAP. L'utilisation des méthodes String.toLowerCase() et String.toUpperCase() peut entraîner certaines exceptions liées aux paramètres régionaux, susceptibles de provoquer l'interrogation de colonnes non souhaitées.

Ce problème affecte plusieurs versions de :

org.springframework.ldap:spring-ldap-core package,

Org.springframework.ldap:spring-ldap-odm package.

Dossier de vulnérabilité
ID CVE	38829
Sévérité	Faible : 3,7
CWE-ID et nom	CWE-178 Traitement incorrect de la sensibilité des cas
Projet concerné	^Spring® LDAP
Paquets concernés	spring-ldap-core spring-ldap-odm
Versions concernées	All prior to 2.4.0, <2.4.0;2.4.3>, <3.0.0;3.0.9>, <3.1.0;3.1.7>, <3.2.0;3.2.7>
Date de publication de la NVD	4 décembre 2024 (Spring.io : 19 novembre 2024)
Date de fixation de la source ouverte	14 novembre 2024
Versions fixes de l'Open Source	2.4.4

Exploration détaillée de38829

Produit concerné : ^Spring® LDAP
Paquets affectés :
- spring-ldap-core
- spring-ldap-odm
Versions affectées :
- Toutes les versions antérieures à 2.4.0
- 2.4.0 - 2.4.3
- 3.0.0 - 3.0.9
- 3.1.0 - 3.1.7
- 3.2.0 - 3.2.7
Dépôt GitHub :
- https://github.com/spring-projects/spring-ldap
Paquets publiés :
- https://mvnrepository.com/artifact/org.springframework.ldap/spring-ldap-core
- https://mvnrepository.com/artifact/org.springframework.ldap/spring-ldap-odm
Corrigé dans : La version 2.4.4 de la communauté open source (crédit : Josh Cummings) et dans ELS for Spring LDAP v2.4.4.TuxCare, qui s'appuie sur la version 2.4.4 comme base de référence.

Informations sur les vulnérabilités

Les méthodes String.toLowerCase() et String.toUpperCase() en Java utilisent des règles locales spécifiques pour la conversion de la casse. Ces règles peuvent varier considérablement en fonction de la locale, ce qui peut conduire à des résultats inattendus lors de la comparaison ou de la transformation de chaînes de caractères. Par exemple, la locale française a des règles de conversion de casse uniques pour certains caractères comme 'œ' et 'oe', dans la locale allemande 'ß' et 'ss', etc. qui s'écartent du comportement par défaut.

Pourquoi est-ce un problème ?

La minuscule allemande "ß" est parfois remplacée par "ss" dans les transformations sensibles aux spécificités locales.
Cela peut perturber l'authentification, les contrôles de sécurité ou les comparaisons de texte si un système s'attend à recevoir "straße" mais obtient "strasse" à la place.
Si un nom d'utilisateur ou un mot de passe contient "ß", il peut ne pas correspondre correctement à son équivalent en majuscules dans les comparaisons de chaînes insensibles à la casse, ce qui entraîne des failles de sécurité ou des échecs d'authentification.

Étapes de la reproduction

Configurer une application^Spring® Security :
- Créer une application^Spring® Boot avec^Spring® Security configuré pour le contrôle d'accès basé sur les rôles.
Définir des rôles avec des variantes de cas :
- Attribuer des rôles à des utilisateurs dont les noms ne diffèrent que par la casse (par exemple, "ADMIN" et "admin").
Mettre en œuvre la transformation des cas dans la logique d'autorisation :
- Incorporer String.toLowerCase() ou String.toUpperCase() dans la logique d'autorisation pour normaliser les noms de rôle.
Définissez le lieu de l'application comme étant un lieu avec des règles de casse uniques :
- Configurer l'application pour qu'elle utilise une locale avec des correspondances spéciales, comme le turc (tr-TR), où, par exemple, les règles de correspondance des majuscules pour certains caractères, comme "i" et "I" dans la locale turque, peuvent différer du comportement par défaut.
Tentative d'accès à des ressources protégées :
- Se connecter en tant qu'utilisateur ayant un rôle spécifique et tenter d'accéder à des ressources protégées par un contrôle d'accès basé sur les rôles.

Atténuation

^Spring® LDAP 2.4.x n'est plus pris en charge par la communauté open source, car sa date de fin de vie est fixée au 30 juin 2023. Cela signifie simplement que la version à partir de cette date ne recevra plus aucune mise à jour pour résoudre ce problème.

‍Les utilisateurs des composants concernés doivent appliquer l'une des mesures d'atténuation suivantes :

Mettez en œuvre le support Endless Lifecycle Support (ELS) de TuxCare pour^Spring®, qui fournit des correctifs de sécurité à long terme pour les versions de fin de vie du projet^Spring®, y compris les versions concernées par cette vulnérabilité CVE.
Il suffit de passer à la version 2.4.4 de la communauté open source et d'accepter le risque de ne plus recevoir de mises à jour de sécurité de la part de la communauté.
Sinon, faites l'effort de passer aux versions open source^Spring® Security plus récentes et toujours prises en charge qui intègrent le correctif, par exemple la version 3.2.11.

Avez-vous besoin d'un correctif pour cette vulnérabilité pour une autre version^{de Spring®} Security ? N'hésitez pas à nous contacter, nous sommes là pour vous aider !