CVE-2025-22235: Demostración de la vulnerabilidad de bypass de autenticación en Spring Boot EndpointRequest.to()

Descripción de la vulnerabilidad

CVE-2025-22235 es una vulnerabilidad de seguridad en Spring Boot que involucra al método EndpointRequest.to(), el cual puede generar matchers incorrectos al configurar reglas de seguridad, provocando que la protección de seguridad de las rutas de endpoints de actuator no expuestos (como /null/**) deje de ser efectiva.

Versiones afectadas

• Spring Security 5.7.16
• Spring Security 5.8.18
• Spring Security 6.0.16
• Spring Security 6.1.14
• Spring Security 6.2.10
• Spring Security 6.3.8
• Spring Security 6.4.4
• Las versiones más antiguas y sin soporte también se ven afectadas

Principio de la vulnerabilidad

Cuando se utiliza EndpointRequest.to("health") para configurar reglas de seguridad, si el endpoint health no está configurado en management.endpoints.web.exposure.include, Spring Boot genera un matcher de ruta incorrecto /null/**, lo que provoca que todas las solicitudes bajo esa ruta evadan la verificación de autenticación.

Configuración del entorno

1. Dependencias del proyecto

• Spring Boot 3.4.3 (versión vulnerable)
• Spring Security
• Spring Boot Actuator

2. Configuración clave

• management.endpoints.web.exposure.include=info (solo se expone el endpoint info; el endpoint health no está expuesto)
• En la configuración de seguridad se utiliza EndpointRequest.to("health") para hacer referencia a un endpoint no expuesto

Pasos para reproducir la vulnerabilidad

1. Iniciar la aplicación

mvn spring-boot:run

2. Acceder al endpoint protegido

Acceda directamente a http://localhost:8080/null: se puede acceder sin iniciar sesión, lo que demuestra que existe la vulnerabilidad de bypass de autenticación.

3. Flujo de autenticación normal

Al acceder a otros endpoints protegidos, como http://localhost:8080/info, se solicitará el inicio de sesión.

Análisis del código vulnerable

Clase de configuración de seguridad (SecurityConfig.java)

.requestMatchers(EndpointRequest.to("health")).permitAll()  // 漏洞触发点
.requestMatchers("/null").authenticated()                   // 应该受保护但被绕过

Controlador (DemoController.java)

@GetMapping("/null")
public String sensitiveEndpoint() {
    return "未登录看到此页面，说明存在CVE-2025-22235认证绕过漏洞!";
}

Corrección de la vulnerabilidad

1. Actualizar la versión de Spring Boot

Actualice a las siguientes versiones corregidas:

• 3.4.5+
• 3.3.11+
• Otras versiones compatibles más recientes

2. Medidas de mitigación temporales

• Asegurarse de que el endpoint al que hace referencia EndpointRequest.to() esté habilitado y expuesto a través de la web
• Evitar manejar solicitudes a la ruta /null
• Comprobar que todos los endpoints referenciados en la configuración de seguridad estén correctamente expuestos

Detalles técnicos

La causa raíz de la vulnerabilidad es que el método EndpointRequest.to() genera un matcher de ruta incorrecto al procesar endpoints no expuestos. Cuando el nombre del endpoint no está configurado en management.endpoints.web.exposure.include, Spring Boot crea un patrón de ruta que contiene null, lo que provoca que las reglas de seguridad queden sin efecto.

Referencias

• Anuncio oficial de CVE-2025-22235
• Anuncio oficial de seguridad de Spring Boot
• Documentación oficial de Spring Security

Descargo de responsabilidad

Este proyecto de demostración se utiliza únicamente con fines de investigación y educación en seguridad. No lo utilice en entornos de producción. El uso de este proyecto es bajo su propio riesgo.