CVE-2021-21234

概要

spring-boot-actuator-logview は、Spring Boot Actuator のエンドポイントとしてシンプルなログファイルビューアを追加するライブラリです。これは Maven パッケージ "eu.hinsch:spring-boot-actuator-logview" です。spring-boot-actuator-logview バージョン 0.2.13 より前には、ディレクトリトラバーサル脆弱性が存在します。このライブラリの性質上、admin（Spring Boot Actuator）HTTP エンドポイントを介してログファイルディレクトリを公開します。表示するファイル名とベースフォルダ（ロギングフォルダのルートからの相対パス）は、どちらもリクエストパラメータで指定できます。ファイル名パラメータはディレクトリトラバーサル攻撃を防ぐためにチェックされていましたが（そのため `filename=../somefile` は機能しません）、ベースフォルダパラメータは十分にチェックされていなかったため、`filename=somefile&base=../` を使用するとロギングベースディレクトリの外部にあるファイルにアクセスできてしまう可能性がありました。この脆弱性はリリース 0.2.13 で修正されています。0.2.12 のユーザーは、そのリリースに他の変更はないため、問題なく更新できるはずです。依存関係を更新または削除する以外に、この脆弱性を修正する回避策はありません。ただし、アプリケーションを実行するユーザーに、アプリケーションの実行に不要なディレクトリへの読み取りアクセスを削除することで、影響を限定できます。さらに、アプリケーションをリバースプロキシの背後にデプロイすることで、logview エンドポイントへのアクセスを制限できます。

• CVE-2021-21234PoC

  CVE-2021-21234の概念実証エクスプロイト。spring-boot-actuator-logviewのディレクトリトラバーサル脆弱性であり、baseパラメータを介して不正なファイル読み取りを可能にします。

• CVE-2021-21234PoC

  spring-boot-actuator-logview ライブラリにおけるディレクトリトラバーサルの脆弱性