Podatności Spring Tools for Eclipse

Spring Tools for Eclipse używa natywnej przeglądarki z włączonym JavaScript do wyświetlania podpowiedzi zależności w kreatorze starterów Spring Boot. Niezaufane lub skompromitowane punkty końcowe Initializr mogą prowadzić do wykonania dowolnego skryptu w przeglądarce po najechaniu na pole wyboru zależności.

Spring Tools for Eclipse przechowuje tajny klucz DevTools remote secret jako zwykły tekst w konfiguracji uruchomieniowej. Plik .launch jest zapisywany w postaci jawnego XML, co może prowadzić do wycieku sekretu do systemu plików lub repozytorium wersji.

Serwer językowy Spring Boot loguje surową wartość zmiennych środowiskowych proxy (https_proxy itp.) na poziomie INFO, gdy nie skonfigurowano ustawienia http.proxy. Adresy URL proxy często zawierają dane uwierzytelniające Basic-auth, które są zapisywane bez maskowania.

Podczas włączania wsparcia Spring Boot DevTools dla zdalnego celu aplikacji (np. kontener Docker lub aplikacja Cloud Foundry) z Spring Tools Boot Dashboard, Spring Tools generuje wspólny sekret uwierzytelniający przesyłanie DevTools remote-restart do wdrożonej aplikacji. Sekret ten był generowany przy użyciu niekryptograficznego generatora liczb pseudolosowych, a nie kryptograficznie bezpiecznego źródła losowości. Dotyczy Spring Tools for Eclipse 5.2.0 i wcześniejszych.

Integracja Docker w Boot Dashboard w Spring Tools publikuje porty kontrolne kontenerów na wszystkich interfejsach sieciowych hosta (0.0.0.0) zamiast ograniczać je do pętli zwrotnej. Dotyczy Spring Tools for Eclipse 5.2.0 i wcześniejszych.