CVE-2025-22235: Demonstration der Authentifizierungsumgehung mittels Spring Boot EndpointRequest.to()

Beschreibung der Schwachstelle

CVE-2025-22235 ist eine Sicherheitslücke in Spring Boot, bei der die Methode EndpointRequest.to() bei der Konfiguration von Sicherheitsregeln möglicherweise einen fehlerhaften Matcher erzeugt, was dazu führt, dass der Sicherheitsschutz für nicht exponierte Actuator-Endpunktpfade (z.B. /null/**) unwirksam wird.

Betroffene Versionen

• Spring Security 5.7.16
• Spring Security 5.8.18
• Spring Security 6.0.16
• Spring Security 6.1.14
• Spring Security 6.2.10
• Spring Security 6.3.8
• Spring Security 6.4.4
• Ältere, nicht mehr unterstützte Versionen sind ebenfalls betroffen

Funktionsweise der Schwachstelle

Wenn mit EndpointRequest.to("health") Sicherheitsregeln konfiguriert werden, und der health-Endpunkt nicht in management.endpoints.web.exposure.include konfiguriert ist, erzeugt Spring Boot einen fehlerhaften Pfad-Matcher /null/**, wodurch alle Anfragen unter diesem Pfad die Authentifizierungsprüfung umgehen.

Einrichtung der Umgebung

1. Projektabhängigkeiten

• Spring Boot 3.4.3 (anfällige Version)
• Spring Security
• Spring Boot Actuator

2. Wichtige Konfiguration

• management.endpoints.web.exposure.include=info (nur info-Endpunkt exponiert, health-Endpunkt nicht exponiert)
• In der Sicherheitskonfiguration wird mit EndpointRequest.to("health") auf einen nicht exponierten Endpunkt verwiesen

Schritte zur Reproduktion der Schwachstelle

1. Anwendung starten

mvn spring-boot:run

2. Zugriff auf geschützten Endpunkt

Direkter Zugriff auf http://localhost:8080/null ohne Anmeldung möglich, was die Authentifizierungsumgehung beweist.

3. Normaler Authentifizierungsablauf

Der Zugriff auf andere geschützte Endpunkte wie http://localhost:8080/info erfordert eine Anmeldung.

Analyse der Schwachstellencode

Sicherheitskonfigurationsklasse (SecurityConfig.java)

.requestMatchers(EndpointRequest.to("health")).permitAll()  // 漏洞触发点
.requestMatchers("/null").authenticated()                   // 应该受保护但被绕过

Controller (DemoController.java)

@GetMapping("/null")
public String sensitiveEndpoint() {
    return "未登录看到此页面，说明存在CVE-2025-22235认证绕过漏洞!";
}

Behebung der Schwachstelle

1. Aktualisierung der Spring Boot-Version

Upgrade auf folgende behobene Versionen:

• 3.4.5+
• 3.3.11+
• Andere unterstützte aktuelle Versionen

2. Vorübergehende Abhilfemaßnahmen

• Stellen Sie sicher, dass der in EndpointRequest.to() referenzierte Endpunkt aktiviert und über das Web exponiert ist
• Vermeiden Sie die Verarbeitung von Anfragen an den Pfad /null
• Überprüfen Sie, ob alle in der Sicherheitskonfiguration referenzierten Endpunkte korrekt exponiert sind

Technische Details

Die Grundursache der Schwachstelle liegt darin, dass die Methode EndpointRequest.to() bei der Verarbeitung nicht exponierter Endpunkte einen fehlerhaften Pfad-Matcher erzeugt. Wenn der Endpunktname nicht in management.endpoints.web.exposure.include konfiguriert ist, erstellt Spring Boot ein Pfadmuster, das null enthält, wodurch die Sicherheitsregeln unwirksam werden.

Referenzen

• Offizielle Ankündigung zu CVE-2025-22235
• Offizielles Sicherheitsbulletin von Spring Boot
• Offizielle Dokumentation von Spring Security

Haftungsausschluss

Dieses Demonstrationsprojekt dient ausschließlich Sicherheitsforschungs- und Bildungszwecken. Bitte nicht in Produktionsumgebungen verwenden. Die Verwendung dieses Projekts erfolgt auf eigenes Risiko.