描述

通过函数式 Web 框架 WebMvc.fn 或 WebFlux.fn 提供静态资源的应用程序容易受到路径遍历攻击。攻击者可以构造恶意 HTTP 请求，并获取文件系统上 Spring 应用程序运行进程可访问的任何文件。

这类似于 CVE-2024-38816，但输入不同。

同样，当以下两个条件都为真时，应用程序容易受到攻击

• Web 应用程序使用 RouterFunctions 来提供静态资源
• 资源处理通过 FileSystemResource 位置显式配置

当使用 Spring Security HTTP Firewall 时，恶意请求将被阻止和拒绝。 与 CVE-2024-38816 不同，部署在 Tomcat 或 Jetty 上的应用程序容易受到攻击。

受影响的 Spring 产品和版本

Spring Framework

• 5.3.0 - 5.3.40
• 6.0.0 - 6.0.24
• 6.1.0 - 6.1.13
• 较旧的不受支持的版本也会受到影响

缓解措施

受影响版本的用户应升级到相应的修复版本。

无需进一步的缓解措施。

鸣谢

此问题由 Aeye Security Lab, Inc 的 Masato Anzai 以及第二位匿名报告者负责任地报告。

参考

• https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N&version=3.1

历史

• 2024-10-17 - 初始报告发布
• 2025-03-08 - 重复条件和缓解措施类似于 CVE-2024-38816
• 2025-03-26 - 与 CVE-2024-38816 不同，部署在 Tomcat 或 Jetty 上的应用程序容易受到攻击