CVE-2023-34034

Spring Security WebFlux: ominięcie zabezpieczeń przez wzorzec "**"

CVSS 9.1v3.1pub. 2023-07-19upd. 2024-11-21

Podatność w Spring Security pozwala na ominięcie skonfigurowanych reguł bezpieczeństwa w aplikacjach opartych na Spring WebFlux. Użycie wzorca "**" w konfiguracji Spring Security powoduje rozbieżność w dopasowywaniu ścieżek między Spring Security a Spring WebFlux, co umożliwia nieautoryzowany dostęp do chronionych zasobów.

▸ Pokaż oryginał (EN)

Using "**" as a pattern in Spring Security configuration for WebFlux creates a mismatch in pattern matching between Spring Security and Spring WebFlux, and the potential for a security bypass.

🤖 Analiza AI

Jak działa

Problem wynika z niezgodności (mismatch) w mechanizmie dopasowywania wzorców (pattern matching) pomiędzy Spring Security a Spring WebFlux. Gdy administrator konfiguruje reguły dostępu z użyciem wzorca "**", Spring Security i Spring WebFlux interpretują go odmiennie. Ta rozbieżność może być wykorzystana przez atakującego do obejścia skonfigurowanych reguł autoryzacji i uzyskania dostępu do zasobów, które powinny być chronione.

Skutki

Atakujący bez uwierzytelnienia może ominąć reguły bezpieczeństwa i uzyskać nieautoryzowany dostęp do chronionych zasobów aplikacji, co prowadzi do naruszenia poufności i integralności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegóły dostępne pod adresem https://spring.io/security/cve-2023-34034. Dodatkowo należy przeanalizować konfiguracje Spring Security pod kątem użycia wzorca "**" i zastąpić go bardziej precyzyjnymi wzorcami.

Kogo dotyczy

VMware Spring Security — wersje wskazane w referencjach producenta (aplikacje wykorzystujące konfigurację WebFlux ze wzorcem "**" w regułach Spring Security)