CVE-2020-5410
spring-cloud-config-server के साथ डायरेक्टरी ट्रैवर्सल
- प्रकाशित
- 2 जून 2020
- अद्यतन
- 21 अक्टू॰ 2025
- सीएनए असाइन करना
- pivotal
- साक्ष्य देखे गए
- 25 मार्च 2022
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:Nउच्च · अगले 30 दिन
- प्रतिशत
- 99.9%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
Spring Cloud Config, संस्करण 2.2.x जो 2.2.3 से पहले के हैं, संस्करण 2.1.x जो 2.1.9 से पहले के हैं, तथा पुराने असमर्थित संस्करण, एप्लिकेशनों को spring-cloud-config-server मॉड्यूल के माध्यम से मनमानी कॉन्फ़िगरेशन फ़ाइलें प्रदान करने की अनुमति देते हैं। एक दुर्भावनापूर्ण उपयोगकर्ता या हमलावर, विशेष रूप से तैयार किए गए URL का उपयोग करके अनुरोध भेज सकता है, जो directory traversal हमले का कारण बन सकता है।
स्रोत
modules/auxiliary/scanner/http/springcloud_directory_traversal.rb
Metasploit Framework modulesघोषित शर्तें
- verification: check_not_declared($.auxiliary_scanner/http/springcloud_directory_traversal.check)
http/cves/2020/CVE-2020-5410.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: regex,status($.matchers[*].type)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।