CVE-2024-38819

01. Visão geral de File-Traversal e WebFlux

1) Visão geral de File-Traversal e WebFlux

A vulnerabilidade File-Traversal (navegação de caminho, Path Traversal) é uma vulnerabilidade que permite a um atacante contornar as permissões do sistema de arquivos em uma aplicação web e acessar arquivos arbitrários, sendo um tipo de ataque designado como CWE-22.

O Spring WebFlux é um módulo introduzido no Spring 5 que oferece suporte à programação reativa, permitindo o desenvolvimento de aplicações assíncronas não bloqueantes. O WebFlux.fn fornece roteamento de endpoints funcional, suportando uma configuração de roteamento concisa e flexível por meio de expressões lambda.

A CVE-2024-38819 ocorre em aplicações que utilizam WebFlux.fn e WebMVC.fn. Este documento examina o fluxo de código de como essa vulnerabilidade ocorre no contexto do WebFlux e busca explorar medidas de mitigação correspondentes.

02. Análise da vulnerabilidade File-Traversal no ambiente WebFlux 6.13

2.1 Análise de File-Traversal usando WebFlux 6.13
É possível realizar um ataque de File-Traversal por meio de um exemplo de serviço de no Spring WebFlux 6.13. Ao examinar o exemplo, pretendemos entender como o File-Traversal é causado usando o Spring WebFlux.

[Figura 1] No Spring WebFlux, todas as requisições que chegam a /static/** são servidas a partir do diretório C:/file do servidor. Aqui, durante a chamada de RouterFunctions.resources, o problema começa no PathResourceLookupFunction.class do WebFlux, conforme [Figura 2] e [Figura 3]. [Figura 2] PathResourceLookupFunction - apply verifica se o caminho fornecido aponta para um recurso válido no Spring WebFlux e retorna esse recurso na forma de Mono. Durante esse processo, várias etapas são executadas — correspondência de caminho, validação, decodificação de caminho, acesso ao recurso etc. — e a vulnerabilidade ocorre na função isInvalidPath. [Figura 3] Em PathResourceLookupFunction - isInvalidPath, existe a condição StringUtils.cleanPath(path).contains("../"), mas, ao solicitar http://localhost:8080/static/file/../Windows/System32/drivers/etc/hosts, essa condição não pode se tornar True. A razão é que [Figura 4] Em StringUtils.class - cleanPath, StringUtils.cleanPath(path) remove TOP_PATH("..") e insere o caminho em pathElements, com top tornando-se 0, portanto uma sintaxe de ataque com ".." inserido uma vez é tratada como sintaxe normal. Assim, a função isInvalidPath da [Figura 3] retorna false, e [Figura 5] Com a chamada de cleanPath em isResourceUnderLocation, uma nova validação é realizada por meio de cleanPath na [Figura 6], sendo o caminho encaminhado na [Figura 5] C:/file../Windows/System32/drivers/etc/hosts. [Figura 7] Através do código da [Figura 7], o prefixo torna-se C:/ e o caminho é alterado para /Windows/System32/drivers/etc/hosts por meio da [Figura 4], de modo que o retorno final é processado como C:/Windows/System32/drivers/etc/hosts.