領先一步
VMware 提供培訓和認證來加速您的進步。
瞭解更多CVE-2024-38816：函式式 Web 框架中的路徑遍歷漏洞
描述
透過函式式 Web 框架 WebMvc.fn 或 WebFlux.fn 提供靜態資源的應用程式容易受到路徑遍歷攻擊。攻擊者可以構造惡意 HTTP 請求，並獲取檔案系統中 Spring 應用程式執行的程序也可以訪問的任何檔案。
具體來說，當以下兩個條件都為真時，應用程式存在漏洞
- Web 應用程式使用
RouterFunctions來提供靜態資源 - 資源處理透過
FileSystemResource位置顯式配置
但是，當以下任何一個條件為真時，惡意請求將被阻止和拒絕
- 正在使用 Spring Security HTTP 防火牆
- 應用程式在 Tomcat 或 Jetty 上執行
受影響的 Spring 產品和版本
Spring Framework
- 5.3.0 - 5.3.39
- 6.0.0 - 6.0.23
- 6.1.0 - 6.1.12
- 較舊的、不受支援的版本也受到影響
緩解措施
受影響版本的使用者應升級到相應的修復版本。
| 受影響的版本 | 修復版本 | 可用性 |
|---|---|---|
| 5.3.x | 5.3.40 | 商業 |
| 6.0.x | 6.0.24 | 商業 |
| 6.1.x | 6.1.13 | OSS |
沒有其他必要的緩解步驟。
較舊的、不受支援版本的使用者可以在他們的應用程式中啟用 Spring Security 的防火牆，或者切換到使用 Tomcat 或 Jetty 作為 Web 伺服器，因為它們會拒絕此類惡意請求。
鳴謝
該問題由 Gabor Legrady 發現並負責任地報告。
參考
報告漏洞
要報告 Spring 產品組合中的專案的安全漏洞，請參閱安全策略