Spring Framework पाथ ट्रावर्सल (Path Traversal) भेद्यता

यह भेद्यता हमलावरों को Spring Webflux एप्लिकेशन द्वारा परोसी जा रही फ़ाइल सिस्टम पर किसी भी फ़ाइल को पढ़ने की अनुमति देती है, बशर्ते कि फ़ाइल एप्लिकेशन प्रक्रिया के लिए सुलभ हो। एक हमलावर HTTP अनुरोधों को तैयार करके इस भेद्यता का फायदा उठा सकता है जो पथ पारगमन तकनीकों का उपयोग करते हैं, जैसे कि '..' अनुक्रम का उपयोग करना। इससे संवेदनशील कॉन्फ़िगरेशन फ़ाइलें, स्रोत कोड या अन्य गोपनीय डेटा का खुलासा हो सकता है। यदि हमलावर एप्लिकेशन को चलाने वाले उपयोगकर्ता के विशेषाधिकारों के साथ फ़ाइलों तक पहुँच सकता है, तो वे सिस्टम पर नियंत्रण भी प्राप्त कर सकते हैं। यह भेद्यता विशेष रूप से उन अनुप्रयोगों के लिए गंभीर है जो उपयोगकर्ता-प्रदानित इनपुट से फ़ाइलों को परोसते हैं।

Organizations deploying Spring Boot applications that serve static resources using WebMvc.fn or WebFlux.fn are at risk, particularly those running versions of Spring Webflux prior to 6.1.14. Shared hosting environments where multiple applications share the same server and file system are especially vulnerable, as a compromise of one application could potentially expose files belonging to others.

• java / server:

find / -name "spring-webflux*.jar" -exec grep -i "WebMvc.fn" {} \;

• generic web:

curl -I 'http://your-server/../../../../etc/passwd' # Attempt path traversal

1. 2024-12-19Disclosure

   disclosure

1. आरक्षित2024-06-19
2. प्रकाशित2024-12-19
3. संशोधित2025-05-28
4. EPSS अद्यतन2026-04-02

CVE-2024-38819 के प्रभाव को कम करने के लिए, Spring Webflux को संस्करण 6.1.14 या बाद के संस्करण में तुरंत अपडेट करना महत्वपूर्ण है। यदि तत्काल अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके पथ पारगमन हमलों को ब्लॉक कर सकते हैं। WAF को उन अनुरोधों को फ़िल्टर करने के लिए कॉन्फ़िगर किया जाना चाहिए जिनमें '..' अनुक्रम या अन्य संदिग्ध पथ पारगमन पैटर्न शामिल हैं। इसके अतिरिक्त, सुनिश्चित करें कि आपका एप्लिकेशन केवल आवश्यक फ़ाइलों को परोस रहा है और संवेदनशील फ़ाइलों को एप्लिकेशन प्रक्रिया के लिए दुर्गम स्थान पर संग्रहीत किया गया है।