领先一步
VMware 提供培训和认证来加速您的进步。
了解更多CVE-2024-38816：函数式 Web 框架中的路径遍历漏洞
描述
通过函数式 Web 框架 WebMvc.fn 或 WebFlux.fn 提供静态资源的应用程序容易受到路径遍历攻击。攻击者可以构造恶意 HTTP 请求，并获取文件系统中 Spring 应用程序运行的进程也可以访问的任何文件。
具体来说，当以下两个条件都为真时，应用程序存在漏洞
- Web 应用程序使用
RouterFunctions来提供静态资源 - 资源处理通过
FileSystemResource位置显式配置
但是，当以下任何一个条件为真时，恶意请求将被阻止和拒绝
- 正在使用 Spring Security HTTP 防火墙
- 应用程序在 Tomcat 或 Jetty 上运行
受影响的 Spring 产品和版本
Spring Framework
- 5.3.0 - 5.3.39
- 6.0.0 - 6.0.23
- 6.1.0 - 6.1.12
- 较旧的、不受支持的版本也受到影响
缓解措施
受影响版本的用户应升级到相应的修复版本。
| 受影响的版本 | 修复版本 | 可用性 |
|---|---|---|
| 5.3.x | 5.3.40 | 商业 |
| 6.0.x | 6.0.24 | 商业 |
| 6.1.x | 6.1.13 | OSS |
没有其他必要的缓解步骤。
较旧的、不受支持版本的用户可以在他们的应用程序中启用 Spring Security 的防火墙，或者切换到使用 Tomcat 或 Jetty 作为 Web 服务器，因为它们会拒绝此类恶意请求。
鸣谢
该问题由 Gabor Legrady 发现并负责任地报告。
参考
报告漏洞
要报告 Spring 产品组合中的项目的安全漏洞，请参阅安全策略