搶先一步
VMware 提供培訓和認證，以加速您的進展。
瞭解更多Spring Security 安全公告
CVE-2024-38816：功能性 Web 框架中的路徑遍歷漏洞
說明
透過功能性 Web 框架 WebMvc.fn 或 WebFlux.fn 提供靜態資源的應用程式，容易受到路徑遍歷攻擊。攻擊者可以製作惡意的 HTTP 請求，並取得檔案系統上任何 Spring 應用程式執行程序可存取的檔案。
具體來說，當以下兩者皆成立時，應用程式即存在漏洞
- Web 應用程式使用
RouterFunctions來提供靜態資源 - 資源處理已明確配置
FileSystemResource位置
但是，當以下任一項成立時，惡意請求會被封鎖和拒絕
- 正在使用 Spring Security HTTP 防火牆
- 應用程式在 Tomcat 或 Jetty 上執行
受影響的 Spring 產品和版本
Spring Framework
- 5.3.0 - 5.3.39
- 6.0.0 - 6.0.23
- 6.1.0 - 6.1.12
- 較舊、不受支援的版本也受到影響
緩解措施
受影響版本的用戶應升級到對應的修復版本。
| 受影響的版本 | 修復版本 | 可用性 |
|---|---|---|
| 5.3.x | 5.3.40 | 商業版 |
| 6.0.x | 6.0.24 | 商業版 |
| 6.1.x | 6.1.13 | OSS |
不需要其他緩解步驟。
較舊、不受支援版本的用戶可以啟用應用程式中的 Spring Security 防火牆，或切換到使用 Tomcat 或 Jetty 作為 Web 伺服器，因為它們會拒絕此類惡意請求。
致謝
此問題由 Gabor Legrady 發現並負責任地回報。
參考資料
回報漏洞
若要回報 Spring Portfolio 中專案的安全漏洞，請參閱安全政策