描述

如果建立 EndpointRequest 的 actuator 端點被停用或未暴露，則 EndpointRequest.to() 會為 null/** 建立一個匹配器。

如果滿足以下所有條件，您的應用程式可能會受到影響

• 您使用 Spring Security
• EndpointRequest.to() 已在 Spring Security 鏈配置中使用
• EndpointRequest 引用的端點已停用或未透過 web 暴露
• 您的應用程式處理對 /null 的請求，並且此路徑需要保護

如果以下任何一項為真，則您不會受到影響

• 您不使用 Spring Security
• 您不使用 EndpointRequest.to()
• EndpointRequest.to() 引用的端點已啟用並已暴露
• 您的應用程式不處理對 /null 的請求，或者此路徑不需要保護

受影響的 Spring 產品和版本

Spring Boot

• 2.7.0 - 2.7.24.2
• 3.1.0 - 3.1.15.2
• 3.2.0 - 3.2.13.2
• 3.3.0 - 3.3.10
• 3.4.0 - 3.4.4
• 較舊的不受支援的版本也會受到影響

緩解措施

受影響版本的使用者應升級到相應的修復版本。

如果您無法升級，您可以選擇

• 確保 EndpointRequest.to() 引用的端點已啟用並已透過 web 暴露
• 確保您不處理對 /null 的請求

致謝

此漏洞由 Janek Bettinger 發現並負責任地報告 ([email protected]).

參考文獻

• https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:F/RL:O/RC:C&version=3.1