CVE-2024-38819

总结

使用函数式 Web 框架 WebMvc.fn 或 WebFlux.fn 提供静态资源的应用程序容易受到路径遍历攻击。攻击者可以构造恶意 HTTP 请求，获取文件系统上任何可供运行 Spring 应用程序的进程访问的文件。

来源

• CVE-2024-38819-POCPoC

  概念验证，演示Spring Boot 3.3.4中通过符号链接和百分号编码目录遍历实现的路径遍历漏洞，用于安全研究和教育。

• cve-2024-38819研究

  深入分析CVE-2024-38819，一个Spring WebFlux文件遍历漏洞，包含代码级剖析、PoC以及包括过滤器和IPS规则在内的缓解策略。