CVE-2021-21234

Резюме

spring-boot-actuator-logview — это библиотека, которая добавляет простой просмотрщик лог-файлов в качестве эндпоинта Spring Boot Actuator. Это Maven-пакет «eu.hinsch:spring-boot-actuator-logview». В spring-boot-actuator-logview до версии 0.2.13 существует уязвимость обхода каталога (directory traversal). Суть библиотеки в том, чтобы предоставлять доступ к каталогу лог-файлов через HTTP-эндпоинты администратора (Spring Boot Actuator). И имя просматриваемого файла, и базовую папку (относительно корня каталога логов) можно задавать через параметры запроса. Параметр filename проверялся для предотвращения попыток обхода каталога (так что `filename=../somefile` не сработал бы), а параметр base folder проверялся недостаточно, поэтому `filename=somefile&base=../` мог получить доступ к файлу за пределами базового каталога логов. Уязвимость исправлена в релизе 0.2.13. Все пользователи 0.2.12 могут обновиться без каких-либо проблем, поскольку в этом релизе нет других изменений. Обходного пути для исправления уязвимости, кроме обновления или удаления зависимости, не существует. Однако ограничить ущерб можно, удалив у пользователя, от имени которого запускается приложение, права на чтение к любым каталогам, не требуемым для работы приложения. Кроме того, доступ к эндпоинту logview можно ограничить, развернув приложение за reverse proxy.

• CVE-2021-21234PoC

  Доказательство концепции эксплуатации для CVE-2021-21234, уязвимости обхода каталога в spring-boot-actuator-logview, позволяющей несанкционированное чтение файлов через параметр base.

• CVE-2021-21234