Podatności Spring Integration

W Spring Integration, gdy IntegrationFlow używa .fluxTransform() z asynchroniczną funkcją fluxFunction emitującą surowe ładunki, współbieżne żądania na tym samym subskrypcji FluxMessageChannel mają nagłówki odpowiedzi (replyChannel, errorChannel, correlationId, propagowane nagłówki bezpieczeństwa/tenant) kopiowane z ostatnio przetworzonej wiadomości. Dotyczy to wersji 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10, 6.4.0-6.4.12 oraz 5.5.21 i wcześniejszych.

EmbeddedHeadersJsonMessageMapper domyślnie stosuje zbyt liberalne parsowanie nagłówków w swoim konstruktorze. Gdy decodeNativeFormat przetwarza surowe bajty, deserializuje osadzone nagłówki JSON do zwykłej mapy i tworzy GenericMessage z MutableMessageHeaders bez domyślnego sanityzowania lub filtrowania niezaufanych nazw nagłówków. Podatność dotyczy Spring Integration w wersjach 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10, 6.4.0-6.4.12 oraz 5.5.21 i wcześniejszych.

Pojedyncza instancja ScriptEngine jest ponownie używana dla każdej wiadomości na kanale opartym na skryptach. Dla silników JSR-223, które zgłaszają THREADING=null (nie są bezpieczne dla wątków, np. silnik Kotlin kts), równoczesne przetwarzanie wiadomości może uszkodzić stan wewnętrzny silnika, potencjalnie wyciekając powiązania payloadu/nagłówków jednej wiadomości do oceny skryptu innej wiadomości lub powodując nieoczekiwane wyjątki. Podatność dotyczy Spring Integration w wersjach 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10, 6.4.0-6.4.12 oraz 5.5.21 i wcześniejszych.

Lokalny nieuprzywilejowany użytkownik na tym samym hoście może przekierować całe wyjście transformatora Zip/UnZip do wybranego przez siebie katalogu, tworząc wcześniej /tmp/ziptransformer jako dowiązanie symboliczne przed uruchomieniem aplikacji. Podatność dotyczy Spring Integration w wersjach 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10 oraz 6.4.0-6.4.12.

W Spring Integration, operator wywołujący JdbcMessageStore.addAllowedPatterns(...) w celu ograniczenia deserializacji nie otrzymuje żadnej ochrony, gdy magazyn jest zarządzany przez Springa. Dotyczy to wersji 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10 oraz 6.4.0-6.4.12.

Jeśli aplikacja jawnie nie podniesie smbMinVersion, klient jCIFS negocjuje w dół do SMB1/CIFS, który nie ma obowiązkowego podpisywania/szyfrowania i jest podatny na ataki NTLM relay oraz MITM modyfikujące treść. Podatność dotyczy Spring Integration w wersjach 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10 oraz 6.4.0-6.4.12.

PropertiesPersistingMetadataStore, domyślny plikowy ConcurrentMetadataStore, zapisuje swój stan do ${java.io.tmpdir}/spring-integration/metadata-store.properties z uprawnieniami odczytu dla wszystkich użytkowników. Dotyczy to Spring Integration w wersjach 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10, 6.4.0-6.4.12 oraz 5.5.21 i wcześniejszych.

UnZipTransformer nie ogranicza rozmiaru rozpakowanych wpisów ani ich liczby podczas przetwarzania archiwów. W rezultacie atakujący może wysłać archiwum zip, które może wyczerpać pamięć sterty JVM, powodując awarię typu denial-of-service. Podatność dotyczy Spring Integration w wersjach 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10 oraz 6.4.0-6.4.12.

Producent mogący publikować do miejsca docelowego JMS używanego przez komponenty wejściowe Spring Integration może ustawić właściwości JMS typu String o nazwach replyChannel, errorChannel lub json__TypeId__, które są kopiowane bez zmian do nagłówków komunikatów Spring Integration.

SerializingHttpMessageConverter deserializuje treść przychodzących żądań HTTP za pomocą surowego java.io.ObjectInputStream bez filtrowania klas. Każde żądanie z Content-Type application/x-java-serialized-object, którego treść jest typu Serializable, jest odczytywane bezpośrednio przez readObject(). Jeśli aplikacja używająca tego konwertera na przychodzącym punkcie końcowym HTTP ma jakikolwiek znany 'gadżet' deserializacji Java na ścieżce klas, zdalny, nieuwierzytelniony atakujący może osiągnąć wykonanie dowolnego kodu.

Atakujący, który może ustawić nagłówek file_name na wiadomości docierającej do ZipTransformer z ZipResultType.FILE (domyślnie), może spowodować zapisanie wynikowego archiwum .zip w dowolnej ścieżce systemu plików poza skonfigurowanym workDirectory. Dotyczy Spring Integration 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10, 6.4.0-6.4.12.

Nieuwierzytelniony zdalny atakujący, który może wysłać pojedynczy pakiet UDP do adaptera przychodzącego UDP Spring Integration, może spowodować, że serwer wyemituje wychodzący datagram UDP do dowolnego wewnętrznego lub zewnętrznego hosta i portu wybranego przez atakującego. Dotyczy Spring Integration 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10, 6.4.0-6.4.12 oraz 5.5.21 i wcześniejszych.

RFC6587SyslogDeserializer, używany przez adapter przychodzący syslog TCP Spring Integration do dekodowania ramek RFC 6587 / RFC 5424, ufa liczbie oktetów dostarczonej przez nadawcę i przydziela tablicę bajtów o dokładnie tym rozmiarze bez górnego limitu. Dotyczy Spring Integration 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10, 6.4.0-6.4.12 oraz 5.5.21 i wcześniejszych.

Konwersja JSON na obiekt w Spring Integration używa nagłówka json__TypeId__ do wyboru typu docelowego deserializacji i rozwiązuje wartość tego nagłówka na klasę za pomocą ClassUtils.forName bez listy dozwolonych typów/pakietów. Dotyczy Spring Integration 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10, 6.4.0-6.4.12 oraz 5.5.21 i wcześniejszych.

Złośliwy lub skompromitowany serwer FTP/SFTP/SMB może zapisywać dowolne pliki poza skonfigurowanym katalogiem lokalnym na systemie klienta Spring Integration. Podatność dotyczy wersji 7.0.0-7.0.4, 6.5.0-6.5.8, 6.4.0-6.4.11, 6.3.0-6.3.14, 5.5.0-5.5.20.