CVE-2021-21234

总结

spring-boot-actuator-logview 是一个库，它添加了一个简单的日志文件查看器作为 spring boot actuator 端点。它是 maven 包 "eu.hinsch:spring-boot-actuator-logview"。在 0.2.13 版本之前的 spring-boot-actuator-logview 中存在一个目录遍历漏洞。该库的性质是通过 admin（spring boot actuator）HTTP 端点暴露日志文件目录。要查看的文件名和一个基础文件夹（相对于日志文件夹根目录）都可以通过请求参数指定。虽然文件名参数已检查以防止目录遍历攻击（因此 `filename=../somefile` 无法生效），但基础文件夹参数未被充分检查，因此 `filename=somefile&base=../` 可以访问日志基础目录之外的文件。该漏洞已在 0.2.13 版本中修复。0.2.12 的任何用户都可以毫无问题地更新，因为该版本没有其他更改。除了更新或移除该依赖之外，没有其他解决办法来修复此漏洞。但是，移除应用程序运行用户对运行应用程序所非必需目录的读取访问权限，可以限制影响范围。此外，可以通过将应用程序部署在反向代理后面来限制对 logview 端点的访问。

• CVE-2021-21234PoC

  针对CVE-2021-21234的概念验证漏洞利用代码，这是spring-boot-actuator-logview中的一个目录遍历漏洞，允许通过base参数未经授权读取文件。

• CVE-2021-21234PoC

  spring-boot-actuator-logview 库中的目录遍历漏洞