CVE-2021-21234

Zusammenfassung

spring-boot-actuator-logview ist eine Bibliothek, die einen einfachen Logdatei-Viewer als Spring-Boot-Actuator-Endpunkt hinzufügt. Es ist das Maven-Paket "eu.hinsch:spring-boot-actuator-logview". In spring-boot-actuator-logview vor Version 0.2.13 gibt es eine Directory-Traversal-Schwachstelle. Der Zweck dieser Bibliothek besteht darin, ein Logdatei-Verzeichnis über Admin-HTTP-Endpunkte (Spring Boot Actuator) bereitzustellen. Sowohl der anzuzeigende Dateiname als auch ein Basisordner (relativ zum Stammverzeichnis des Logging-Ordners) können über Anfrageparameter angegeben werden. Während der Dateinamenparameter geprüft wurde, um Directory-Traversal-Angriffe zu verhindern (sodass `filename=../somefile` nicht funktionieren würde), wurde der Basisordner-Parameter nicht ausreichend geprüft, sodass mit `filename=somefile&base=../` auf eine Datei außerhalb des Logging-Basisverzeichnisses zugegriffen werden konnte). Die Schwachstelle wurde in Version 0.2.13 behoben. Alle Benutzer von 0.2.12 sollten ohne Probleme aktualisieren können, da es in dieser Version keine weiteren Änderungen gibt. Es gibt keinen Workaround, um die Schwachstelle zu beheben, außer die Abhängigkeit zu aktualisieren oder zu entfernen. Das Entfernen des Lesezugriffs des Benutzers, mit dem die Anwendung ausgeführt wird, auf Verzeichnisse, die für den Betrieb der Anwendung nicht erforderlich sind, kann die Auswirkungen jedoch begrenzen. Zusätzlich kann der Zugriff auf den Logview-Endpunkt eingeschränkt werden, indem die Anwendung hinter einem Reverse-Proxy bereitgestellt wird.

• CVE-2021-21234PoC

  Proof-of-Concept-Exploit für CVE-2021-21234, eine Verzeichnisdurchlauf-Schwachstelle in spring-boot-actuator-logview, die unberechtigtes Lesen von Dateien über den base-Parameter ermöglicht.