Podatności Spring Framework

Framework Spring w wersjach od 4.0.0 do 4.0.4 oraz od 3.0.0 do 3.2.8, a także prawdopodobnie wcześniejszych wersjach, nie wyłączał domyślnie rozwiązywania odniesień URI w deklaracji DTD podczas przetwarzania dokumentów XML dostarczonych przez użytkowników. To umożliwia atak XXE.

Aplikacje Spring MVC korzystające z funkcjonalnego frameworka webowego są podatne na uszkodzenie strumienia podczas korzystania z Server-Sent Events (SSE). Dotyczy Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30 oraz 5.3.0-5.3.49.

Aplikacje, które oceniają wyrażenia Spring Expression Language (SpEL) przy użyciu SimpleEvaluationContext, mogą być podatne na obejście zabezpieczeń, gdy aktywny jest kompilator wyrażeń SpEL. Dotyczy wielu wersji Spring Framework.

Aplikacja WebFlux używająca funkcjonalnych endpointów i wdrożona z DispatcherServlet może być podatna na obejście predykatu nagłówka w żądaniu pre-flight. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.5.RELEASE-5.2.25.RELEASE.

Aplikacja Spring WebFlux, która używa procesora XML Aalto do parsowania danych XML, nie egzekwuje poprawnie limitu maxInMemorySize. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.25.RELEASE i wcześniejszych.

Aplikacje Spring MVC i WebFlux są podatne na uszkodzenie strumienia podczas korzystania z Server-Sent Events (SSE) z fragmentami widoków. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8 oraz 6.2.0-6.2.19.

Spring Framework w wersji 5.1, w wersjach 5.0.x przed 5.0.10, w wersjach 4.3.x przed 4.3.20 oraz starszych nieobsługiwanych wersjach z gałęzi 4.2.x zapewnia obsługę żądań zakresowych przy serwowaniu zasobów statycznych przez ResourceHttpRequestHandler lub, począwszy od wersji 5.0, gdy kontroler z adnotacjami zwraca org.springframework.core.io.Resource. Złośliwy użytkownik (lub atakujący) może dodać nagłówek zakresu z dużą liczbą zakresów lub z szerokimi, nakładającymi się zakresami, lub oba, co prowadzi do ataku typu denial of service. Podatność dotyczy aplikacji korzystających z spring-webmvc lub spring-webflux. Takie aplikacje muszą również mieć rejestrację do serwowania zasobów statycznych (np. JS, CSS, obrazy itp.) lub mieć kontroler z adnotacjami zwracający org.springframework.core.io.Resource. Aplikacje Spring Boot korzystające z spring-boot-starter-web lub spring-boot-starter-webflux są gotowe do serwowania zasobów statycznych od razu i dlatego są podatne.

Framework Spring w wersjach od 4.2.0 do 4.2.1, 4.0.0 do 4.1.7, 3.2.0 do 3.2.14 oraz starszych, nieobsługiwanych wersjach jest podatny na atak Reflected File Download (RFD). Atak polega na stworzeniu przez złośliwego użytkownika adresu URL z rozszerzeniem skryptu wsadowego, co skutkuje pobraniem odpowiedzi zamiast jej renderowania, a także zawiera pewne dane wejściowe odzwierciedlone w odpowiedzi.

Aplikacje, które budują wartość nagłówka Content-Disposition z niezaufanych danych wejściowych, mogą być podatne na rozdzielenie odpowiedzi HTTP, gdy dane wejściowe to złośliwa nazwa pliku. Dotyczy Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.25.RELEASE i wcześniejszych.

Aplikacje Spring Framework, które używają infrastruktury wiązania danych do stosowania ścieżek właściwości dostarczanych przez użytkownika na obiekcie docelowym, mogą być podatne na atak typu Denial of Service (DoS).

Aplikacje Spring MVC i WebFlux, które uzyskują instancję Errors z włączonym kodowaniem HTML i renderują błędy pól za pomocą bezargumentowych metod Errors.getFieldErrors() lub Errors.getFieldError(), są podatne na wstrzykiwanie dowolnego kodu HTML/JavaScript, co może prowadzić do odbitego XSS.

Aplikacje korzystające z integracji FreeMarker w Spring Framework mogą być podatne na atak polegający na przechodzeniu do innych katalogów (path traversal), gdy kontroler zwraca nazwę widoku pochodzącą z niezaufanych danych wejściowych, a FreeMarker jest skonfigurowany do rozwiązywania szablonów przez SpringTemplateLoader. Dotyczy to Spring Framework 7.0.0 - 7.0.8, 6.2.0 - 6.2.19, 6.1.0 - 6.1.28, 6.0.0 - 6.0.30, 5.3.0 - 5.3.49 oraz 5.2.25.RELEASE i wcześniejszych.

Aplikacja Spring WebFlux obsługująca połączenia WebSocket może ujawniać pośrednio wrażliwe informacje o użytkowniku, umieszczając nagłówki żądań w komunikacie wyjątku. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.25.RELEASE i wcześniejszych.

Aplikacja WebFlux działająca na adapterze reaktywnym Jetty 12 Core serializuje ciasteczka odpowiedzi bez atrybutu sameSite. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8 oraz 6.2.0-6.2.19.

Aplikacja Spring RSocket jest narażona na wyciek pamięci przez nieprawidłowo sformułowaną ramkę SETUP. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.0.RELEASE-5.2.25.RELEASE.

Aplikacja Spring MVC, która używa UrlFileNameViewController z mapowaniem na końcu ścieżki i bez skonfigurowanego prefiksu, jest podatna na otwarte przekierowanie. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.25.RELEASE i wcześniejszych.

Aplikacje, które przetwarzają wyrażenia SpEL dostarczane przez użytkownika, mogą być podatne na atak DoS, gdy używany jest operator potęgowania (^) z operandem BigDecimal lub BigInteger i dużą wartością wykładnika. Dotyczy to szerokiego zakresu wersji Spring Framework.

UrlHandlerFilter może być podatny na otwarte przekierowanie, gdy jest skonfigurowany z bardzo szerokimi wzorcami dopasowania. Problem dotyczy wariantów filtra zarówno w Spring MVC, jak i Spring WebFlux. Dotyczy wersji Spring Framework 7.0.0-7.0.8 oraz 6.2.0-6.2.19.

W niezaufanym środowisku JMS, klasy MappingJackson2MessageConverter i JacksonJsonMessageConverter w Spring Framework umożliwiają dowolną instancję klas, co może prowadzić do nieautoryzowanych działań poprzez deserializację klas gadżetów.

Spring Framework w wersjach 7.0.0 do 7.0.7 oraz 6.2.0 do 6.2.18 jest podatny na atak SSRF (Server-Side Request Forgery) z powodu nieprawidłowego parsowania hosta w UriComponentsBuilder. Aplikacje używające UriComponentsBuilder do analizy i walidacji zewnętrznych adresów URL mogą być narażone na wysyłanie żądań do wewnętrznych zasobów.

Aplikacje Spring MVC i WebFlux są podatne na ataki typu Multipart request smuggling. Podatność dotyczy Spring Framework w wersjach 7.0.0-7.0.7, 6.2.0-6.2.18, 6.1.0-6.1.27 oraz 5.3.0-5.3.48.

Podatność w logice ewaluacji Spring Expression Language (SpEL) umożliwia wywoływanie dowolnych metod bezargumentowych, nawet w ograniczonych kontekstach, co może pozwolić atakującemu na wywołanie niezamierzonej logiki aplikacji.

Aplikacje akceptujące wyrażenia SpEL (Spring Expression Language) od użytkownika mogą być podatne na atak DoS, jeśli ewaluacja wyrażenia powoduje nieograniczony wzrost pamięci podręcznej. Dotyczy Spring Framework wersje 7.0.0-7.0.7, 6.2.0-6.2.18, 6.1.0-6.1.27, 5.3.0-5.3.48.

Podatność w Spring Framework umożliwia atak DoS poprzez specjalnie spreparowane wyrażenia SpEL, powodujące nadmierne zużycie zasobów.

W bibliotece Spring Expression Language (SpEL) występuje podatność na przepełnienie liczb całkowitych. Atakujący może dostarczyć specjalnie spreparowane wyrażenie SpEL, które powoduje nadmierne zużycie zasobów, prowadząc do odmowy usługi (DoS).

Aplikacje używające AntPathMatcher z Spring Framework mogą być podatne na atak typu ReDoS (Regular Expression Denial of Service), jeśli atakujący może dostarczyć wzorzec do metod match(), matchStart() lub extractUriTemplateVariables(). Dotyczy to Spring Framework 7.0.0-7.0.7, 6.2.0-6.2.18, 6.1.0-6.1.27 oraz 5.3.0-5.3.48.

Aplikacje Spring WebFlux używające Kotlin Router DSL mogą być podatne na obejście zabezpieczeń. Podatność dotyczy Spring Framework w wersjach od 5.3.0 do 5.3.48.

Aplikacje Spring MVC akceptujące wartości dostarczone przez użytkownika w atrybutach cssClass, cssErrorClass lub cssStyle znaczników JSP formularzy umożliwiają wstrzykiwanie dowolnego kodu HTML/JavaScript, co prowadzi do podatności XSS.

Funkcja JavaScriptUtils.javaScriptEscape() w Spring Framework nieprawidłowo escapuje dane, co może prowadzić do wstrzyknięcia kodu JavaScript w przeglądarce i podatności na XSS. Dotyczy to wersji 7.0.0-7.0.7, 6.2.0-6.2.18, 6.1.0-6.1.27 oraz 5.3.0-5.3.48.

Aplikacje Spring MVC lub Spring WebFlux z mapowaniem "/**" bez jawnego określenia nazwy widoku umożliwiają atakującemu przekierowanie 302 na dowolny zewnętrzny host poprzez prefiks redirect:. Dotyczy Spring Framework 7.0.0-7.0.7, 6.2.0-6.2.18, 6.1.0-6.1.27, 5.3.0-5.3.48.

Aplikacje Spring MVC i WebFlux są podatne na ataki Path Traversal podczas rozwiązywania zasobów statycznych. Podatność dotyczy Spring Framework w wersjach 7.0.0-7.0.7, 6.2.0-6.2.18, 6.1.0-6.1.27 oraz 5.3.0-5.3.48.

Aplikacje Spring MVC i WebFlux są podatne na ataki DoS podczas rozwiązywania zasobów statycznych. Podatne wersje: Spring Framework 7.0.0-7.0.7, 6.2.0-6.2.18, 6.1.0-6.1.27, 5.3.0-5.3.48.

Aplikacje Spring MVC i WebFlux są podatne na ataki ujawniania informacji podczas rozwiązywania zasobów statycznych. Podatność dotyczy Spring Framework w wersjach 7.0.0 do 7.0.7, 6.2.0 do 6.2.18, 6.1.0 do 6.1.27 oraz 5.3.0 do 5.3.48.

Aplikacje Spring WebFlux są podatne na ataki typu Denial of Service (DoS) podczas przetwarzania żądań multipart. Podatność dotyczy Spring Framework w wersjach 7.0.0-7.0.7, 6.2.0-6.2.18, 6.1.0-6.1.27 oraz 5.3.0-5.3.48.

Aplikacja WebFlux z naruszonym subdomeną (np. poprzez XSS) jest podatna na atak eskalacji, polegający na wymianie znanego identyfikatora sesji na identyfikator sesji uwierzytelnionego użytkownika. Podatność dotyczy Spring Framework w wersjach 7.0.0 do 7.0.7, 6.2.0 do 6.2.18, 6.1.0 do 6.1.27 oraz 5.3.0 do 5.3.48.

Identyfikatory sesji WebSocket w module spring-websocket nie są kryptograficznie nieprzewidywalne, co może być wykorzystane w połączeniu z nieodpowiednimi regułami autoryzacji. Podatność dotyczy Spring Framework w wersjach 7.0.0-7.0.7, 6.2.0-6.2.18, 6.1.0-6.1.27 oraz 5.3.0-5.3.48.

Spring Framework (wersje 5.0.x przed 5.0.7, 4.3.x przed 4.3.18 i starsze nieobsługiwane) pozwala aplikacjom webowym na zmianę metody HTTP na dowolną metodę (w tym TRACE) za pomocą HiddenHttpMethodFilter w Spring MVC. Jeśli aplikacja ma istniejącą podatność XSS, atakujący może użyć tego filtra do eskalacji do ataku XST (Cross Site Tracing).

Spring Framework w wersji 5.0.5, gdy jest używany z dowolną wersją Spring Security, zawiera obejście autoryzacji przy użyciu bezpieczeństwa metod. Nieautoryzowany złośliwy użytkownik może uzyskać nieautoryzowany dostęp do metod, które powinny być ograniczone.