Vulnerabilidade de Traversal de Caminho no Spring Framework

Um atacante pode explorar essa vulnerabilidade para ler arquivos arbitrários no sistema de arquivos do servidor, potencialmente expondo informações confidenciais como chaves de API, senhas, dados de configuração e código-fonte. O impacto é ampliado se a aplicação Spring estiver executando com privilégios elevados, permitindo o acesso a áreas mais sensíveis do sistema. A exploração bem-sucedida pode levar à divulgação de informações, comprometimento da integridade do sistema e, em alguns casos, execução remota de código, dependendo das permissões do processo e dos arquivos acessíveis. Essa vulnerabilidade se assemelha a outros ataques de Path Traversal, onde a falta de validação adequada de entradas do usuário permite que um atacante manipule o caminho do arquivo para acessar recursos não autorizados.

Organizations deploying Spring Boot applications that serve static resources using WebMvc.fn or WebFlux.fn are at risk, particularly those running versions of Spring Webflux prior to 6.1.14. Shared hosting environments where multiple applications share the same server and file system are especially vulnerable, as a compromise of one application could potentially expose files belonging to others.

• java / server:

find / -name "spring-webflux*.jar" -exec grep -i "WebMvc.fn" {} \;

• generic web:

curl -I 'http://your-server/../../../../etc/passwd' # Attempt path traversal

1. 2024-12-19Disclosure

   disclosure

1. Reservado2024-06-19
2. Publicada2024-12-19
3. Modificada2025-05-28
4. EPSS atualizado2026-04-02

A mitigação primária é atualizar o Spring Webflux para a versão 6.1.14 ou superior. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir o acesso aos recursos estáticos apenas a usuários autenticados e autorizados. Implementar regras de firewall ou proxy para bloquear solicitações maliciosas que tentem acessar arquivos fora do diretório esperado. Monitore logs de acesso e erro em busca de padrões suspeitos, como tentativas de acessar arquivos com caminhos inesperados. Após a atualização, confirme a correção verificando se as solicitações para arquivos fora do diretório esperado resultam em erros 403 (Proibido) ou 404 (Não Encontrado).