CVE-2024-38816

सारांश

कार्यात्मक वेब फ्रेमवर्क WebMvc.fn या WebFlux.fn के माध्यम से स्थैतिक संसाधनों की सेवा करने वाले अनुप्रयोग पाथ ट्रैवर्सल हमलों के प्रति संवेदनशील हैं। एक हमलावर दुर्भावनापूर्ण HTTP अनुरोध तैयार कर सकता है और फ़ाइल सिस्टम पर मौजूद किसी भी फ़ाइल को प्राप्त कर सकता है, जो उस प्रक्रिया के लिए भी सुलभ है जिसमें Spring अनुप्रयोग चल रहा है। विशेष रूप से, कोई अनुप्रयोग तब संवेदनशील होता है जब निम्नलिखित दोनों सत्य हों: * वेब अनुप्रयोग स्थैतिक संसाधनों की सेवा के लिए RouterFunctions का उपयोग करता है * संसाधन हैंडलिंग स्पष्ट रूप से FileSystemResource स्थान के साथ कॉन्फ़िगर की गई है हालाँकि, दुर्भावनापूर्ण अनुरोध तब अवरुद्ध और अस्वीकार कर दिए जाते हैं जब निम्नलिखित में से कोई भी सत्य हो: * Spring Security HTTP Firewall https://docs.spring.io/spring-security/reference/servlet/exploits/firewall.html उपयोग में है * अनुप्रयोग Tomcat या Jetty पर चलता है

स्रोत

• spring-frameworkपैच