CVE-2024-38816

• Produto afetado:^Spring® Framework
• Pacotes afetados:
  • spring-webflux
  • spring-webmvc
• Versões afetadas:
  • Todas as versões anteriores à 5.3.0
  • 5.3.0 – 5.3.39
  • 6.0.0 – 6.0.23
  • 6.1.0 – 6.1.12
• Repositório do GitHub: https://github.com/spring-projects/spring-framework
• Pacotes publicados:

https://mvnrepository.com/artifact/org.springframework/spring-webflux

https://mvnrepository.com/artifact/org.springframework/spring-webmvc

• Corrigido na versão: ELS para^Spring® Framework: spring-web v5.3.39.TuxCare.1, que tem como base a última versão de código aberto da comunidade (5.3.39), à qual foram aplicados todos os patches da TuxCare.

Aplicativos que servem recursos estáticos por meio das estruturas funcionais da web WebMvc.fn ou WebFlux.fn estão vulneráveis a ataques de traversal de caminho. Um invasor pode criar solicitações HTTP maliciosas e obter qualquer arquivo no sistema de arquivos que também esteja acessível ao processo no qual o aplicativo^Spring® está sendo executado.

Especificamente, um aplicativo é vulnerável quando ambas as condições a seguir se aplicam:

• O aplicativo web utiliza o RouterFunctions para servir recursos estáticos
• o gerenciamento de recursos é configurado explicitamente com um local FileSystemResource

No entanto, as solicitações maliciosas são bloqueadas e rejeitadas quando ocorrer qualquer uma das seguintes situações:

• O^Spring® Security HTTP Firewall https://docs.spring.io/spring-security/reference/servlet/exploits/firewall.html está em uso
• o aplicativo é executado no Tomcat ou no Jetty

1. Contorna a proteção de recursos estáticos

Em aplicativos que utilizam RouterFunctions e servem arquivos a partir do sistema de arquivos (por exemplo, com FileSystemResource), invasores podem solicitar caminhos como:

/public/../../../../etc/passwd

…para ler arquivos confidenciais.

1. Divulga informações confidenciais
   • Os invasores podem ler arquivos como:
     • /etc/passwd (informações do usuário)
     • Arquivos de configuração com credenciais
     • Código-fonte, registros de log ou chaves privadas
2. Pode levar a novas vulnerabilidades
   • Informações vazadas podem ajudar os invasores:
     • Aumentar os privilégios
     • Executar inclusão de arquivo local (LFI)
     • Realizar outros ataques (por exemplo, SSRF, RCE)
3. Funciona em aplicativos reativos e tradicionais

Isso afeta tanto as aplicações ^Spring® WebFlux.fn quanto ^{as Spring®} WebMvc.fn, tornando-se relevante em diferentes pilhas de web.

Se você configurar seu aplicativo^Spring® WebFlux ou WebMvc.fn para servir arquivos a partir do sistema de arquivos local (por exemplo, /var/www/files) usando RouterFunctions, um invasor pode criar URLs como:

/files/../../../etc/passwd

…para acessar arquivos arbitrários fora do diretório permitido.

Pré-requisitos

• Utilização Versões do^Spring® Framework:
  • 5.3.0 – 5.3.39
  • 6.0.0 – 6.0.23
  • 6.1.0 – 6.1.12
• Pilha web: ^Spring® WebFlux.fn ou ^Spring® WebMvc.fn

Sirva arquivos estáticos usando o FileSystemResource sem restrições adicionais de segurança.

pom.xml (para o Maven)

Use^{o Spring®} Boot 2.7.17 (que inclui^{o Spring®} Framework 5.3.39 – vulnerável)

<dependency>

  <groupId>org.springframework.boot</groupId>

  <artifactId>spring-boot-starter-webflux</artifactId>

  <version>2.7.17</version>

</dependency>

2. Estrutura de arquivos

/arquivos-estáticos/

└── hello.txt

3. Código do aplicativo

@Configuration

classe pública StaticResourceRouter {

    @Bean

    public RouterFunction<ServerResponse> staticFiles() {

        retornar RouterFunctions

            .resources(“/files/**”, new FileSystemResource(“/caminho/absoluto/para/arquivos-estáticos”));

    }

}

Teste isso

🟢 Solicitação normal:

ACESSE http://localhost:8080/files/hello.txt

✅ Responde com o arquivo.

🔴 Exploração de percurso de caminho:

ACESSE http://localhost:8080/files/../../../etc/passwd

ou codificado como URL:

ACESSE http://localhost:8080/files/..%2F..%2F..%2Fetc%2Fpasswd

❗ Previsto (aplicativo vulnerável):

Retorna o conteúdo do arquivo /etc/passwd (ou de outros arquivos acessíveis fora da pasta /static-files).

^{O Spring®} Framework 5.3.x não conta mais com o suporte da comunidade de código aberto, já que sua data de fim de vida útil é 30 de junho de 2023. Isso significa simplesmente que, a partir dessa data, a versão não receberá mais atualizações para corrigir esse problema.

‍Os usuários dos componentes afetados devem aplicar uma das seguintes medidas de mitigação:

• Aproveite o Suporte de Ciclo de Vida Ilimitado da TuxCare, que amplia o suporte de segurança regular oferecido pela comunidade após o fim da vida útil do produto; depois, basta aplicar nossos patches.
• Atualize para a versão 6.1.13+ da comunidade de código aberto e aceite o risco de não receber mais nenhuma atualização de segurança da comunidade a partir de 30 de junho de 2025.
• Como alternativa, dedique-se a atualizar para as versões de código aberto mais recentes e recomendadas^{do Spring®} Framework — que ainda tenham mais de um ano de suporte — e que não sejam afetadas; por exemplo, a versão 6.2.5
• Substitua FileSystemResource por ClassPathResource (impede o acesso ao sistema de arquivos).
• Utilize o^Spring® Security HTTP Firewall para rejeitar padrões suspeitos de traversal de caminho.

Você precisa de uma correção para essa vulnerabilidade em alguma outra versão^{do Spring®} Framework? Entre em contato conosco, estamos aqui para ajudá-lo!

• https://nvd.nist.gov/vuln/detail/CVE-2024-38816
• https://spring.io/security/cve-2024-38816
• spring-projects/spring-framework@d86bf8b
• https://security.netapp.com/advisory/ntap-20241227-0001