CVE-2025-22235: Dimostrazione del bypass dell'autenticazione Spring Boot EndpointRequest.to()

Descrizione della vulnerabilità

CVE-2025-22235 è una vulnerabilità di sicurezza di Spring Boot che riguarda il metodo EndpointRequest.to(), il quale, durante la configurazione delle regole di sicurezza, può generare un matcher errato, causando la perdita della protezione di sicurezza per i percorsi degli endpoint actuator non esposti (come /null/**).

Versioni interessate

• Spring Security 5.7.16
• Spring Security 5.8.18
• Spring Security 6.0.16
• Spring Security 6.1.14
• Spring Security 6.2.10
• Spring Security 6.3.8
• Spring Security 6.4.4
• Anche le versioni più vecchie e non supportate sono interessate

Principio della vulnerabilità

Quando si configura una regola di sicurezza usando EndpointRequest.to("health"), se l'endpoint health non è configurato in management.endpoints.web.exposure.include, Spring Boot genera un matcher di percorso errato /null/**, consentendo a tutte le richieste su quel percorso di bypassare i controlli di autenticazione.

Configurazione dell'ambiente

1. Dipendenze del progetto

• Spring Boot 3.4.3 (versione vulnerabile)
• Spring Security
• Spring Boot Actuator

2. Configurazione chiave

• management.endpoints.web.exposure.include=info (viene esposto solo l'endpoint info, l'endpoint health non è esposto)
• Nella configurazione di sicurezza viene usato EndpointRequest.to("health") per fare riferimento a un endpoint non esposto

Passaggi per la riproduzione della vulnerabilità

1. Avviare l'applicazione

mvn spring-boot:run

2. Accedere all'endpoint protetto

Accedere direttamente a http://localhost:8080/null senza effettuare il login: l'accesso è consentito, dimostrando l'esistenza del bypass dell'autenticazione.

3. Flusso di autenticazione normale

L'accesso ad altri endpoint protetti come http://localhost:8080/info richiede invece il login.

Analisi del codice vulnerabile

Classe di configurazione di sicurezza (SecurityConfig.java)

.requestMatchers(EndpointRequest.to("health")).permitAll()  // Punto di innesco della vulnerabilità
.requestMatchers("/null").authenticated()                   // Dovrebbe essere protetto ma viene bypassato

Controller (DemoController.java)

@GetMapping("/null")
public String sensitiveEndpoint() {
    return "Se vedi questa pagina senza aver effettuato il login, significa che esiste la vulnerabilità di bypass dell'autenticazione CVE-2025-22235!";
}

Correzione della vulnerabilità

1. Aggiornare la versione di Spring Boot

Aggiornare alle seguenti versioni corrette:

• 3.4.5+
• 3.3.11+
• Altre versioni recenti supportate

2. Misure di mitigazione temporanee

• Assicurarsi che l'endpoint referenziato da EndpointRequest.to() sia abilitato ed esposto tramite Web
• Evitare di gestire le richieste al percorso /null
• Verificare che tutti gli endpoint referenziati nella configurazione di sicurezza siano esposti correttamente

Dettagli tecnici

La causa principale della vulnerabilità risiede nel fatto che il metodo EndpointRequest.to(), quando gestisce endpoint non esposti, genera un matcher di percorso errato. Quando il nome dell'endpoint non è configurato in management.endpoints.web.exposure.include, Spring Boot crea un pattern di percorso contenente null, rendendo inefficaci le regole di sicurezza.

Riferimenti

• Annuncio ufficiale CVE-2025-22235
• Bollettino di sicurezza ufficiale di Spring Boot
• Documentazione ufficiale di Spring Security

Disclaimer

Questo progetto dimostrativo è destinato esclusivamente a scopi di ricerca e formazione sulla sicurezza. Non utilizzarlo in ambienti di produzione. L'uso di questo progetto è a proprio rischio.