Ce dépôt est un ensemble d'exemples illustrant les configurations dans lesquelles des applications peuvent être vulnérables à https://spring.io/security/cve-2023-34035[CVE-2023-34035].

Une application est vulnérable lorsque toutes les conditions suivantes sont réunies :

Spring MVC est présent sur le classpath

DispatcherServlet et au moins un autre servlet sont mappés ; l'un d'eux ayant un mappage de servlet basé sur un chemin (par exemple /path/**)

L'application utilise requestMatchers(String) pour faire référence à des points de terminaison dont le mappage de servlet est de la forme /path/**

== Exemples

Il existe un ensemble d'exemples utilisant Spring Boot et un ensemble qui ne l'utilise pas.

Les exemples contenant des tests échouant sont vulnérables à CVE-2023-34035. Les exemples dont les tests réussissent ne sont pas vulnérables.

Dans tous les cas, chacun de ces exemples contient la même erreur d'atténuation de Spring Security, bien qu'une telle atténuation soit temporaire dans de nombreuses circonstances, en attendant la prochaine version de maintenance.

=== servlet:java-configuration:dispatcher-servlet-path

https://github.com/jzheaux/cve-2023-34035-mitigations/tree/main/servlet/java-configuration/dispatcher-servlet-path[Cet exemple] représente une application vulnérable où est déployé sur au lieu du par défaut.

cve-2023-34035-mitigations

Populaires

.Bash [source,bash,role="primary"]

This method cannot decide whether these patterns are Spring MVC patterns or not. If this endpoint is a Spring MVC endpoint, please use `requestMatchers(MvcRequestMatcher)`; otherwise, please use `requestMatchers(AntPathRequestMatcher)`.

.Java [source,java,role="primary"]

@Bean SecurityFilterChain appSecurity(HttpSecurity http) throws Exception { http .authorizeHttpRequests((authorize) -> authorize .requestMatchers("/my-servlet/").hasRole("USER") .requestMatchers("/spring-mvc-controller/").hasRole("USER") .anyRequest().authenticated() ) // ... return http.build(); }

.Java [source,java,role="primary"]

.Java [source,java,role="primary"]

@Bean SecurityFilterChain appSecurity(HttpSecurity http) throws Exception { http .authorizeHttpRequests((authorize) -> authorize .requestMatchers("/spring-mvc/controller/**")).hasRole("USER") .anyRequest().authenticated() ) // ... return http.build(); }

.Java [source,java,role="primary"]

@Bean SecurityFilterChain appSecurity(HttpSecurity http, MvcRequestMatcher.Builder mvc) throws Exception { http .authorizeHttpRequests((authorize) -> authorize .requestMatchers(mvc.pattern("/controller/**")).hasRole("USER") .anyRequest().authenticated() ) // ... return http.build(); }

cve-2023-34035-mitigations

Populaires

.Bash [source,bash,role="primary"]

This method cannot decide whether these patterns are Spring MVC patterns or not. If this endpoint is a Spring MVC endpoint, please use requestMatchers(MvcRequestMatcher); otherwise, please use requestMatchers(AntPathRequestMatcher).

.Java [source,java,role="primary"]

@Bean SecurityFilterChain appSecurity(HttpSecurity http) throws Exception { http .authorizeHttpRequests((authorize) -> authorize .requestMatchers("/my-servlet/").hasRole("USER") .requestMatchers("/spring-mvc-controller/").hasRole("USER") .anyRequest().authenticated() ) // ... return http.build(); }

.Java [source,java,role="primary"]

.Java [source,java,role="primary"]

@Bean SecurityFilterChain appSecurity(HttpSecurity http) throws Exception { http .authorizeHttpRequests((authorize) -> authorize .requestMatchers("/spring-mvc/controller/**")).hasRole("USER") .anyRequest().authenticated() ) // ... return http.build(); }

.Java [source,java,role="primary"]

@Bean SecurityFilterChain appSecurity(HttpSecurity http, MvcRequestMatcher.Builder mvc) throws Exception { http .authorizeHttpRequests((authorize) -> authorize .requestMatchers(mvc.pattern("/controller/**")).hasRole("USER") .anyRequest().authenticated() ) // ... return http.build(); }

This method cannot decide whether these patterns are Spring MVC patterns or not. If this endpoint is a Spring MVC endpoint, please use `requestMatchers(MvcRequestMatcher)`; otherwise, please use `requestMatchers(AntPathRequestMatcher)`.