Spring Security授权绕过漏洞（CVE-2024-38821）

admin
admin
admin
140802
文章
117
评论
2024年10月29日21:32:33评论147 views字数 1317阅读4分23秒阅读模式

一、漏洞概述

漏洞名称

   Spring Security授权绕过漏洞

CVE   ID

CVE-2024-38821

漏洞类型

授权绕过

发现时间

2024-10-29

漏洞评分

9.1

漏洞等级

高危

攻击向量

网络

所需权限

无

利用难度

低

用户交互

无

PoC/EXP

未公开

在野利用

未发现
Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架。
2024年10月29日，启明星辰集团VSRC监测到Spring Security中修复了一个授权绕过漏洞（CVE-2024-38821），该漏洞的CVSS评分为9.1。
Spring Security中存在授权绕过漏洞，当Spring WebFlux应用程序使用Spring的静态资源支持，并且在静态资源上应用了非permitAll的授权规则时，某些情况下可能导致授权绕过，未经身份验证的攻击者可构造恶意请求利用该漏洞绕过授权规则，从而未授权访问这些静态资源。

二、影响范围

Spring Security 5.7.0 - 5.7.12
Spring Security 5.8.0 - 5.8.14
Spring Security 6.0.0 - 6.0.12
Spring Security 6.1.0 - 6.1.10
Spring Security 6.2.0 - 6.2.6
Spring Security 6.3.0 - 6.3.3
以及不受支持的旧版本。

三、安全措施

3.1 升级版本

目前该漏洞已经修复，受影响用户可升级到以下版本：
Spring Security 5.7.x：升级到5.7.13（仅限企业支持）
Spring Security 5.8.x：升级到5.8.15（仅限企业支持）
Spring Security 6.0.x：升级到6.0.13（仅限企业支持）
Spring Security 6.1.x：升级到6.1.11（仅限企业支持）
Spring Security 6.2.x：升级到6.2.7或更高版本
Spring Security 6.3.x：升级到6.3.4或更高版本
下载链接：
https://github.com/spring-projects/spring-security/tags

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升服务器的安全性。
加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。
使用企业级安全产品，提升企业的网络安全性能。
加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。
启用强密码策略并设置为定期修改。

3.4 参考链接

https://spring.io/security/cve-2024-38821
https://spring.io/projects/spring-security
https://github.com/spring-projects/spring-security/commit/0e257b56ce35402558a260ffa6b368982f9a7934

原文始发于微信公众号（启明星辰安全简讯）：【漏洞通告】Spring Security授权绕过漏洞（CVE-2024-38821）

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年10月29日21:32:33
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   Spring Security授权绕过漏洞（CVE-2024-38821）http://cn-sec.com/archives/3330614.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息