CVE-2024-38819

CNA: VMware
Gravidade: Alta
Data de criação: 17 de outubro de 2024
CWE-22: Limitação inadequada de um nome de caminho a um diretório restrito (“Path Traversal”)
Afeta: Versões ^{do Spring®} Framework: todas as versões anteriores à 6.1.14, exceto a 5.3.39.tuxcare.3
CVSS:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Essa vulnerabilidade (CVE) foi resolvida pela equipe da TuxCare e
um patch foi disponibilizado para os usuários do ELS for^Spring®.

Conheça o ELS for^Spring®

Índice

Visão geral
Análise detalhada da vulnerabilidade CVE-2024-38819
Por que isso é um problema?
Etapas para reproduzir o problema
Resultado esperado (Vulnerável)
Mitigação
Referências

Siga-nos nas redes sociais

Visão geral

^{O Spring®} Framework é uma estrutura abrangente e de código aberto para a criação de aplicativos Java. Ele oferece injeção de dependências (DI), programação orientada a aspectos (AOP) e gerenciamento de transações, tornando o desenvolvimento em Java mais modular e eficiente.

^{O Spring®} Web é um módulo do^Spring® Framework projetado para a criação de aplicativos web e serviços RESTful em Java. Ele oferece funcionalidades essenciais para a web, incluindo o tratamento de solicitações baseado em servlets, suporte à API REST e integração com^{o Spring®} Web MVC, que é um módulo do^Spring® Framework que fornece uma poderosa arquitetura Modelo-Visão-Controlador (MVC) para a criação de aplicativos web. ^{O Spring®} WebFlux é uma estrutura web reativa e não bloqueante introduzida no^Spring® 5. Ele foi projetado para lidar com aplicativos web assíncronos e orientados a eventos usando o Project Reactor (fluxos reativos).

A limitação inadequada de um caminho de acesso a um diretório restrito (“Path Traversal”) ocorre quando o produto utiliza entradas externas para construir um caminho de acesso destinado a identificar um arquivo ou diretório localizado dentro de um diretório pai restrito, mas o produto não neutraliza adequadamente elementos especiais contidos no caminho de acesso que podem fazer com que ele aponte para um local fora do diretório restrito.

A vulnerabilidade CVE-2024-38819, do tipo “Path Traversal” de alta gravidade, afeta aplicativos que utilizam as estruturas funcionais WebMvc.fn ou WebFlux.fn para servir recursos estáticos. Os invasores podem explorar essa vulnerabilidade criando solicitações HTTP maliciosas que lhes permitam recuperar qualquer arquivo no sistema de arquivos ao qual o processo do aplicativo^Spring® tenha acesso.

Este problema afeta várias versões de:

org.springframework:spring-webflux
pacote,

org.springframework:spring-webmvc
pacote.

Dossiê de Vulnerabilidades
ID do CVE	CVE-2024-38819
Gravidade	Máxima: 7,5
CWE-ID e nome	CWE-22: Limitação inadequada de um nome de caminho a um diretório restrito (“Path Traversal”)
Projeto afetado	^Spring® Framework
Pacotes afetados	spring-webflux spring-webmvc
Versões afetadas	All prior 5.3.0, <5.3.0;5.3.40>,<6.0.0;6.0.24>,<6.1.0;6.1.13>
Data de publicação do NVD	19 de dezembro de 2024 (Spring.io: 17 de outubro de 2024)
Data de correção do TuxCare	19 de março de 2025
Versão corrigida do TuxCare	5.3.39.tuxcare.3

Análise detalhada da vulnerabilidade CVE-2024-38819

Produto afetado:^Spring® Framework
Pacotes afetados:
- spring-webflux
- spring-webmvc
Versões afetadas:
- Todas as versões anteriores à 5.3.0
- 5.3.0 – 5.3.40
- 6.0.0 – 6.0.24
- 6.1.0 – 6.1.13
Repositório do GitHub: https://github.com/spring-projects/spring-framework
Pacotes publicados:

https://mvnrepository.com/artifact/org.springframework/spring-webflux

https://mvnrepository.com/artifact/org.springframework/spring-webmvc

Corrigido na versão: ELS para^Spring® Framework: spring-web v5.3.39.TuxCare.3, que tem como base a última versão da comunidade de código aberto, a 5.3.39, à qual foram aplicados todos os patches da TuxCare.

Em aplicações nas quais:

Os recursos estáticos são servidos por meio de RouterFunctions
O gerenciamento de recursos é configurado explicitamente por meio de um local FileSystemResource.

Um invasor pode criar solicitações HTTP maliciosas para realizar ataques de traversal de caminho, podendo acessar qualquer arquivo no sistema de arquivos do servidor para o qual o processo do aplicativo tenha permissão de leitura.

Por que isso é um problema?

Contorna a proteção de recursos estáticos

Em aplicativos que utilizam RouterFunctions e servem arquivos a partir do sistema de arquivos (por exemplo, com FileSystemResource), invasores podem solicitar caminhos como:

/public/../../../../etc/passwd

…para ler arquivos confidenciais.

Divulga informações confidenciais
- Os invasores podem ler arquivos como:
  - /etc/passwd (informações do usuário)
  - Arquivos de configuração com credenciais
  - Código-fonte, registros de log ou chaves privadas
Pode levar a novas vulnerabilidades
- Informações vazadas podem ajudar os invasores:
  - Aumentar os privilégios
  - Executar inclusão de arquivo local (LFI)
  - Realizar outros ataques (por exemplo, SSRF, RCE)
Funciona em aplicativos reativos e tradicionais

Isso afeta tanto as aplicações ^Spring® WebFlux.fn quanto ^{as Spring®} WebMvc.fn, tornando-se relevante em diferentes pilhas de web.

Etapas para reproduzir o problema

Pré-requisitos

^Spring® Framework 5.3.0 a 5.3.40, 6.0.0 a 6.0.24 ou 6.1.0 a 6.1.13
^Spring® WebFlux ou^Spring® WebMvc utilizando roteamento funcional (RouterFunctions)
Um arquivo ou diretório exposto por meio do FileSystemResource

1. Criar um aplicativo^Spring® Boot usando WebFlux ou WebMvc.fn

@Configuration

classe pública StaticResourceConfig {

@Bean

public RouterFunction<ServerResponse> staticRoutes() {

return RouterFunctions.resources("/files/**", new FileSystemResource("/seu/caminho/no/servidor"));

}

Isso torna os arquivos do diretório /seu/servidor/caminhoacessíveis pelo caminho de URL /files /.

2. Adicione um arquivo de exemplo no caminho indicado

/seu/servidor/caminho/index.html

3. Execute o aplicativo

Acesse:

http://localhost:8080/files/index.html

✅ Deveria funcionar e retornar o arquivo.

4. Tente um ataque de percurso de caminho

Tente acessar:

http://localhost:8080/files/../../../etc/passwd

ou, se estiver codificado:

http://localhost:8080/files/..%2f..%2f..%2f..%2fetc%2fpasswd

Caso haja uma vulnerabilidade, o aplicativo responderá com o conteúdo do arquivo /etc/passwd (ou de qualquer arquivo legível fora do diretório permitido).

Resultado esperado (Vulnerável)

O servidor retorna o conteúdo de arquivos restritos que estão fora da pasta /files/ prevista.
Isso confirma que o ataque de percurso de caminho funcionou.

Mitigação

^{O Spring®} Framework 5.3.x não conta mais com o suporte da comunidade de código aberto, já que sua data de fim de vida útil é 30 de junho de 2023. Isso significa simplesmente que, a partir dessa data, a versão não receberá mais atualizações para corrigir esse problema.

‍Os usuários dos componentes afetados devem aplicar uma das seguintes medidas de mitigação:

Aproveite o Suporte de Ciclo de Vida Ilimitado da TuxCare, que amplia o suporte de segurança regular oferecido pela comunidade após o fim da vida útil do produto; depois, basta aplicar nossos patches.
Atualize para a versão 6.1.14 da comunidade de código aberto e aceite o risco de não receber mais nenhuma atualização de segurança da comunidade a partir de 30 de junho de 2025.
Como alternativa, dedique-se a atualizar para as versões de código aberto mais recentes e recomendadas^{do Spring®} Framework — que ainda tenham mais de um ano de suporte — e que não sejam afetadas; por exemplo, a versão 6.2.5
Use ClassPathResource para arquivos estáticos em vez de FileSystemResource
Valide e normalize manualmente os caminhos antes de resolver os recursos

Se você precisar de uma correção para essa vulnerabilidade em qualquer outra versão^{do Spring®} Framework, entre em contato conosco. Estamos aqui para ajudá-lo!