CVE-2024-38821

CNA: VMware
Gravidade: Crítica
Data de criação: 22 de outubro de 2024
CWE-770: Alocação de recursos sem limites nem restrições
Afeta: Versões^{do Spring®} Security: 5.6.12 e anteriores, 5.7.0 a 6.3.3, exceto 5.7.13+, 5.8.15+, 6.0.13+, 6.1.11+, 6.2.7+ e 6.3.4
CVSS:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Essa vulnerabilidade (CVE) foi resolvida pela equipe da TuxCare e
um patch foi disponibilizado para os usuários do ELS for^Spring®.

Conheça o ELS for^Spring®

Índice

Visão geral
Análise detalhada da vulnerabilidade CVE-2024-38821
Etapas para reproduzir o problema
Mitigação
Referências

Siga-nos nas redes sociais

Visão geral

^{O Spring®} Security é uma poderosa estrutura de autenticação e controle de acesso para aplicativos Java, especialmente aqueles desenvolvidos com o^Spring® Framework. Ele oferece uma solução de segurança abrangente, abordando diversos aspectos, como autenticação, autorização e proteção contra vulnerabilidades comuns de segurança.

A “alocação de recursos sem limites” ou “throttling” ocorre quando o produto aloca um recurso reutilizável ou um grupo de recursos em nome de um ator, sem impor quaisquer restrições ao tamanho ou ao número de recursos que podem ser alocados, violando a política de segurança prevista para esse ator.

A CVE-2024-38821 é uma vulnerabilidade crítica de contorno de autorização identificada em aplicativos ^Spring® WebFlux que utilizam ^{o Spring®} Security para controle de acesso a recursos estáticos. Essa falha permite que usuários não autorizados acessem recursos estáticos restritos sob condições específicas.

Este problema afeta várias versões do pacote org.springframework.security:spring-security-web.

Dossiê de Vulnerabilidades
ID do CVE	CVE-2024-38821
Gravidade	Avaliação: 9,1
CWE-ID e nome	CWE-770: Alocação de recursos sem limites ou restrições
Projeto afetado	Segurança^Spring®
Pacotes afetados	spring-security-web
Versões afetadas	5.6.2 and older, <5.7.0;5.7.12>, <5.8.0;5.8.14>, <6.0.0;6.0.12>, <6.1.0;6.1.10>, <6.2.0;6.2.6>, <6.3.0;6.3.3>
Data de publicação do NVD	28 de outubro de 2024 (Spring.io: 22 de outubro de 2024)
Data de correção do código aberto	21 de outubro de 2024
Versões corrigidas de código aberto	5.8.15

Análise detalhada da vulnerabilidade CVE-2024-38821

Versões afetadas:
• 5.6.12 e anteriores
• 5.7.0 – 5.7.12
• 5.8.0 – 5.8.14
• 6.0.0 – 6.0.12
• 6.1.0 – 6.1.10
• 6.2.0 – 6.2.6
• 6.3.0 – 6.3.3
Repositório do GitHub:
• https://github.com/spring-projects/spring-security
Pacotes publicados:
• https://mvnrepository.com/artifact/org.springframework.security/spring-security-web
Corrigido em:
• versão 5.8.15 da comunidade de código aberto (crédito: Rob Winch) e no ELS para^Spring® Security v5.8.15.TuxCare, que utiliza a versão 5.8.15 como base.

Aplicativos^Spring® WebFlux que utilizam o suporte a recursos estáticos^{do Spring®} e aos quais são aplicadas regras de autorização que não sejam “permitAll” podem, sob condições específicas, estar vulneráveis ao acesso não autorizado a recursos estáticos. A vulnerabilidade pode ser explorada se o aplicativo atender a todos os critérios a seguir:

É um aplicativo WebFlux
Ele utiliza o suporte a recursos estáticos^{do Spring®}
Possui uma regra de autorização “non-permitAll” aplicada ao suporte a recursos estáticos

Por que isso é um problema?

Quando todas as condições acima forem atendidas, a vulnerabilidade poderá permitir o acesso não autorizado a recursos estáticos, expondo potencialmente informações ou funcionalidades confidenciais.

Etapas para reproduzir o problema

Configurar um aplicativo vulnerável:

Crie um aplicativo^Spring® WebFlux que forneça recursos estáticos (por exemplo, arquivos HTML, CSS e JavaScript).
Implemente^{o Spring®} Security com controles de acesso restritivos nesses recursos estáticos (por exemplo, exigindo autenticação).

Tentativa de acesso não autorizado:

Crie solicitações HTTP que manipulem o caminho da URL para acessar os recursos estáticos protegidos.Notícias sobre segurança cibernética
Por exemplo, acessar //index.html em vez de /index.html pode contornar os filtros de segurança e permitir o acesso não autorizado ao arquivo index.html.Notícias sobre segurança cibernética

Prova de Conceito (PoC): O pesquisador de segurança Mouad Kondah apresentou aqui uma explicação detalhada e um código de exploração (PoC) que demonstra como essa vulnerabilidade pode ser explorada por meio da manipulação de caminhos de URL para contornar filtros de segurança.

Mitigação

^{O Spring®} Security 5.8.x não conta mais com o suporte da comunidade de código aberto, pois sua data de fim de vida útil foi em 31 de dezembro de 2023. Isso significa que a versão a partir dessa data não recebe mais atualizações para resolver esse problema.

‍Os usuários dos componentes afetados devem aplicar uma das seguintes medidas de mitigação:

Implemente o Endless Lifecycle Support (ELS) da TuxCare para^{o Spring®}, que oferece patches de segurança de longo prazo para versões de projetos^Spring® que chegaram ao fim da vida útil, incluindo as versões afetadas por esta CVE.
Basta atualizar para a versão 5.8.15 da comunidade de código aberto e aceitar o risco de não receber mais nenhuma atualização de segurança da comunidade.
Como alternativa, procure atualizar para as versões mais recentes^{do Spring®} Security de código aberto que ainda recebem suporte e que já incluem a correção (por exemplo, a versão 6.3.8)

Se você precisar de uma correção para essa vulnerabilidade ou para qualquer outra versão^{do Spring®} Security, entre em contato conosco. Estamos aqui para ajudá-lo!

Faça uma pergunta aqui.

Saiba mais sobre o Suporte de Ciclo de Vida Ilimitado para^Spring® aqui.