Podatności Spring Security

ActiveDirectoryLdapAuthenticator w Spring Security w wersjach od 3.2.0 do 3.2.1 oraz od 3.1.0 do 3.1.5 nie sprawdza długości hasła. W przypadku, gdy katalog pozwala na anonimowe logowanie, może błędnie uwierzytelnić użytkownika, który poda puste hasło.

Spring Security zawiera wbudowany serwer LDAP UnboundID (UnboundIdContainer), który bezwarunkowo rejestruje poświadczenia administracyjne i wiąże swój nasłuch na wszystkich dostępnych interfejsach sieciowych. Dotyczy to wersji Spring Security 7.1.0, 7.0.0-7.0.6, 6.5.0-6.5.11, 6.4.0-6.4.18, 5.8.0-5.8.27 oraz 5.7.0-5.7.25.

Narzędzie InetAddressMatchers w Spring Security udostępnia konstruktory matchInternal() i matchExternal() do tworzenia matchera adresów IP, który klasyfikuje adres jako wewnętrzny (prywatny) lub zewnętrzny (publiczny). Podatność dotyczy Spring Security 7.1.0.

Wiele komponentów Spring Security porównuje wartości wrażliwe dla bezpieczeństwa za pomocą standardowej metody String.equals() zamiast porównania w czasie stałym. Ponieważ String.equals() zwraca wynik natychmiast po znalezieniu różnicy, czas odrzucenia nieprawidłowej wartości jest proporcjonalny do liczby pasujących znaków początkowych.

Spring Security Authorization Server w wersjach 7.1.0 oraz 7.0.0-7.0.6 zawiera podatność polegającą na tym, że domyślna strona zgody (consent page) renderuje wartości kontrolowane przez użytkownika bez kodowania encji HTML.

Aplikacje używające AesBytesEncryptor z dwuargumentowym konstruktorem lub z przekazanym null jako generator IV i trybem CBC szyfrują dane za pomocą AES/CBC z wektorem inicjalizacyjnym o wartości null (same zera). Podatne są wersje Spring Security od 5.7.0 do 7.1.0.

Aplikacja korzystająca z obsługi WebAuthn w Spring Security może być podatna na obejście weryfikacji użytkownika w przypadku korzystania z rozproszonego magazynu sesji HTTP. Podatność dotyczy Spring Security 7.1.0, 7.0.0-7.0.6, 6.5.0-6.5.11 oraz 6.4.0-6.4.18.

Podatność na obejście uwierzytelniania przez atak typu capture-replay w Spring Security. DPoPProofJwtDecoderFactory zawiera podatność na atak typu replay oparty na pamięci podręcznej. Wewnętrzna pamięć podręczna przechowująca identyfikatory JWT ma ścisły limit rozmiaru, co pozwala atakującym na usunięcie prawidłowych wpisów przez zalanie serwera fałszywymi żądaniami, a następnie powtórzenie przechwyconych prawidłowych dowodów DPoP.

Klasa SubjectDnX509PrincipalExtractor w Spring Security nieprawidłowo obsługuje niektóre uszkodzone wartości CN w certyfikatach X.509, co może prowadzić do odczytania błędnej nazwy użytkownika. W starannie spreparowanym certyfikacie może to umożliwić atakującemu podszycie się pod innego użytkownika. Dotyczy wersji 5.7.0-5.7.24, 5.8.0-5.8.26, 6.3.0-6.3.17, 6.4.0-6.4.17, 6.5.0-6.5.10.

Podatność w Spring Security dotyczy CookieRequestCache i CookieServerRequestCache, które przechowują pełny absolutny URL żądania przed uwierzytelnieniem w ciasteczku przeglądarki. Po zalogowaniu użytkownik jest przekierowywany na ten URL bez walidacji, co umożliwia atak typu open redirect.

Podatność w Spring Security SAML umożliwia atakującemu odszyfrowanie SAML Responses oraz elementów LogoutRequests/LogoutResponses bez wymaganego podpisu, co pozwala na użycie Service Providera jako wyroczni deszyfrującej. Dotyczy wersji 5.7.0-5.7.23, 5.8.0-5.8.25, 6.3.0-6.3.16, 6.4.0-6.4.16, 6.5.0-6.5.10, 7.0.0-7.0.5.

W Spring Security występuje podatność, w której atakujący mogący wpływać na wartości w RelyingPartyRegistration może uruchomić dowolny kod na formularzach HTML generowanych przez filtry Spring Security. Podatność dotyczy wersji 5.7.0-5.7.23, 5.8.0-5.8.25, 6.3.0-6.3.16, 6.4.0-6.4.16, 6.5.0-6.5.10 oraz 7.0.0-7.0.5.

Atakujący z uprawnieniami do zapisu w tabeli bazy danych zarządzanej przez JdbcAssertingPartyMetadataRepository może przechowywać złośliwe serializowane ładunki w kolumnach zawierających zestawy poświadczeń weryfikacyjnych lub szyfrujących. Dotyczy to Spring Security w wersjach 7.0.0 do 7.0.5.

Aplikacja używająca spring-security-saml2-service-provider z wiązaniem REDIRECT dla logowania lub wylogowania SAML 2.0 może być podatna na atak DoS poprzez nieskończony zapis, który rozpręża skompresowany ładunek SAML w pamięci. Dotyczy to wersji Spring Security od 5.7.0 do 5.7.23, od 5.8.0 do 5.8.25, od 6.3.0 do 6.3.16, od 6.4.0 do 6.4.16, od 6.5.0 do 6.5.10 oraz od 7.0.0 do 7.0.5.

Podatność w Spring Security umożliwia pominięcie reguł autoryzacji, gdy aplikacja używa <sec:intercept-url servlet-path="..."/> do definiowania ścieżki serwletu. W rezultacie ścieżka serwletu nie jest uwzględniana przy dopasowywaniu wzorców, co prowadzi do obejścia autoryzacji.

Podatność w Spring Security dotyczy klasy SubjectX500PrincipalExtractor, która nieprawidłowo obsługuje niektóre źle sformułowane wartości CN w certyfikatach X.509. Może to prowadzić do odczytania błędnej nazwy użytkownika, co w przypadku starannie spreparowanego certyfikatu umożliwia atakującemu podszycie się pod innego użytkownika.

Podatność w Spring Security umożliwia obejście kontroli dostępu, gdy aplikacja bezpośrednio wywołuje metodę AuthenticatedVoter#vote z parametrem Authentication ustawionym na null. Problem dotyczy wersji 5.7.x do 5.7.11, 5.8.x do 5.8.10, 6.0.x do 6.0.8, 6.1.x do 6.1.7 oraz 6.2.x do 6.2.2.

Wersje Spring Security 5.8 przed 5.8.5, 6.0 przed 6.0.5 oraz 6.1 przed 6.1.2 mogą być podatne na błędną konfigurację reguł autoryzacji, jeśli aplikacja używa requestMatchers(String) oraz wielu serwletów, w tym DispatcherServlet Spring MVC.