CVE-2021-21234

Riepilogo

spring-boot-actuator-logview è una libreria che aggiunge un semplice visualizzatore di file di log come endpoint actuator di spring boot. È il pacchetto Maven "eu.hinsch:spring-boot-actuator-logview". In spring-boot-actuator-logview prima della versione 0.2.13 esiste una vulnerabilità di directory traversal. La natura di questa libreria è esporre una directory di file di log tramite endpoint HTTP di amministrazione (spring boot actuator). Sia il nome del file da visualizzare che una cartella di base (relativa alla radice della cartella di logging) possono essere specificati tramite parametri della richiesta. Mentre il parametro filename era controllato per prevenire exploit di directory traversal (quindi `filename=../somefile` non avrebbe funzionato), il parametro base non era sufficientemente controllato, quindi `filename=somefile&base=../` poteva accedere a un file al di fuori della directory di base del logging). La vulnerabilità è stata corretta nella release 0.2.13. Gli utenti della 0.2.12 dovrebbero essere in grado di aggiornare senza problemi poiché non ci sono altre modifiche in quella release. Non esiste una soluzione alternativa per correggere la vulnerabilità oltre all'aggiornamento o alla rimozione della dipendenza. Tuttavia, rimuovere l'accesso in lettura dell'utente con cui viene eseguita l'applicazione a qualsiasi directory non necessaria per l'esecuzione dell'applicazione può limitare l'impatto. Inoltre, l'accesso all'endpoint logview può essere limitato distribuendo l'applicazione dietro un proxy inverso.

• CVE-2021-21234PoC

  Proof-of-concept exploit per CVE-2021-21234, una vulnerabilità di directory traversal in spring-boot-actuator-logview che consente la lettura non autorizzata di file tramite il parametro base.