CVE-2024-38819

01. Aperçu de File-Traversal et WebFlux

• 1) Aperçu de File-Traversal et de WebFlux

  La vulnérabilité File-Traversal (parcours de chemin, Path Traversal) permet à un attaquant de contourner les autorisations du système de fichiers dans une application web et d'accéder à des fichiers arbitraires. Elle est répertoriée sous le code CWE-22 et constitue un type d'attaque.

  Spring WebFlux est un module introduit dans Spring 5 qui prend en charge la programmation réactive et le développement d'applications asynchrones non bloquantes. WebFlux.fn fournit un routage fonctionnel des points de terminaison, permettant une configuration de routage concise et flexible à l'aide d'expressions lambda.

  CVE-2024-38819 survient dans les applications utilisant WebFlux.fn, WebMVC.fn. Ce document examine comment cette vulnérabilité se produit dans le contexte de WebFlux, en suivant le flux de code, et explore les mesures correctives correspondantes.

02. Analyse de la vulnérabilité File-Traversal dans l'environnement WebFlux 6.1.3

• 2.1 Analyse de File-Traversal avec WebFlux 6.1.3

  Dans Spring WebFlux 6.1.3, il est possible de réaliser une attaque File-Traversal via un exemple de service de ressources statiques (static resource).
  Nous allons examiner cet exemple pour comprendre comment Spring WebFlux peut être exploité pour provoquer un File-Traversal.

1) Flux de l'attaque File-Traversal utilisant Spring WebFlux 6.1.3

[Figure 1] FileApplication.java

[Figure 2] PathResourceLookupFunction.class - apply

[Figure 3] PathResourceLookupFunction.class - isInvalidPath

[Figure 4] StringUtils.class - cleanPath

[Figure 5] PathResourceLookupFunction.class - apply - 2

[Figure 6] PathResourceLookupFunction.class - isResourceUnderLocation

[Figure 7] StringUtils.class - cleanPath -2

2) Exemple d'attaque File-Traversal utilisant Spring WebFlux 6.1.3

Actuellement, le test a été effectué sur Windows avec C:/file, mais ce cas est très dangereux s'il est combiné avec un lien symbolique sous Linux.
(La vulnérabilité ne se produit que lorsque ".." est présent une seule fois ; avec "../.." deux fois, le comportement normal s'applique.)

2-1) Exemple d'attaque File-Traversal utilisant Spring WebFlux 6.1.3 - Exemple 2

Attaque avec un lien symbolique sur un serveur Linux

 public RouterFunction<ServerResponse> staticResourceRouter() {
     return RouterFunctions.resources("/static/**", new FileSystemResource("/app/static/"));
 }

Ajout du lien symbolique : ln -s /static /app/static/link, puis attaque

03. Mesures correctives

Nous avons examiné le déroulement de l'attaque File Traversal (CVE-2024-38819) dans l'environnement Spring WebFlux. Il s'agit d'une méthode d'attaque permettant le vol d'informations du serveur, d'où l'importance des mesures correctives. Nous proposons ici la mise à jour vers la dernière version, la création d'une logique de validation supplémentaire, et le blocage via un IPS.

• Mise à jour de Spring Framework

  Veuillez consulter le tableau ci-dessous et vérifier votre version avant de mettre à niveau.

  

• Exemple de logique de validation supplémentaire

  Comme le montrent les exemples d'attaque, le problème vient des cas où TOP_PATH (..) apparaît une seule fois. Voici un exemple simple de logique de filtrage (à adapter par les développeurs).
  root@kitploit:~

  @Bean
  public RouterFunction<ServerResponse> staticResourceRouter() {    
    return RouterFunctions.resources("/static/**", new FileSystemResource("C:/file"))
            .filter((request, next) -> {
                String path = request.path();
                if (path.contains("..")) {
                   if(!StringUtils.cleanPath(path).contains("../")) {
                       return ServerResponse.status(HttpStatus.FORBIDDEN).bodyValue("Accès à un chemin vulnérable.");
                   }        
                }
                return next.handle(request);
            });
  }
  

• Blocage via IPS

  Exemple d'attaque : requête via Postman contenant le chemin ../ dans l'URL
  Bloquer toute requête URL contenant ../ provoquant un déplacement vers un répertoire parent

04. Conclusion

Nous avons étudié le File Traversal via WebFlux. Cette vulnérabilité provient de l'utilisation de StringUtils.cleanPath() sans avoir conscience du problème dans sa logique.

05. Références

(POC) https://github.com/masa42/CVE-2024-38819-POC
(Spring officiel) https://spring.io/security/cve-2024-38819
(CVE-DETAIL) https://www.cvedetails.com/cve/CVE-2024-38819/
(NIST) https://nvd.nist.gov/vuln/detail/cve-2024-38819