领先一步
VMware 提供培训和认证，助您加速进步。
了解更多CVE-2024-38819：函数式Web框架中的路径遍历漏洞（第二次报告）
描述
通过函数式Web框架WebMvc.fn或WebFlux.fn提供静态资源的应用程序容易受到路径遍历攻击。攻击者可以制作恶意HTTP请求，并获取文件系统上可供运行Spring应用程序的进程访问的任何文件。
这与CVE-2024-38816类似，但输入不同。
同样，当以下两个条件都满足时，应用程序就存在漏洞：
- Web应用程序使用
RouterFunctions来提供静态资源 - 资源处理显式配置了
FileSystemResource位置
当使用Spring Security HTTP防火墙时，恶意请求会被阻止和拒绝。与CVE-2024-38816不同，部署在Tomcat或Jetty上的应用程序也容易受到攻击。
受影响的 Spring 产品和版本
Spring Framework
- 5.3.0 - 5.3.40
- 6.0.0 - 6.0.24
- 6.1.0 - 6.1.13
- 较旧的、不受支持的版本也受到影响
缓解措施
受影响版本的用户应升级到相应的修复版本。
| 受影响版本 | 修复版本 | 可用性 |
|---|---|---|
| 5.3.x | 5.3.41 | 商业 |
| 6.0.x | 6.0.25 | 商业 |
| 6.1.x | 6.1.14 | OSS |
无需进一步的缓解措施。
致谢
该问题由Aeye Security Lab, Inc的Masato Anzai和另一位匿名报告者负责任地报告。
参考资料
历史
- 2024-10-17 - 首次报告发布
- 2025-03-08 - 重复条件和缓解措施与CVE-2024-38816类似
- 2025-03-26 - 与CVE-2024-38816不同，部署在Tomcat或Jetty上的应用程序也容易受到攻击
报告漏洞
要报告 Spring 组合项目中存在的安全漏洞，请参阅安全策略