Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] VMware Spring opravuje 3 zraniteľnosti
VMware opravuje 3 zraniteľnosti vo svojich produktoch. Produkty a ich opravy: Spring Framework - 5.3.41, 6.0.25 a 6.1.14 [1][2] Spring Security - 5.7.13, 5.8.15, 6.0.13, 6.1.11, 6.2.7 a 6.3.4 [3]
Neautentizovanému vzdialenému útočníkovi je pomocou škodlivých HTTP požiadaviek umožnené získať akýkoľvek súbor v súborovom systéme, ktorý je prístupný aj procesu, v ktorom je spustená aplikácia Spring [1].
Zraniteľnosť sa nachádza v produkte:
- Spring Framework; >=5.3.0, <=5.3.40; >=6.0.0, <=6.0.24; >=6.1.0, <=6.1.13
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Viac informácií:
- CVE-2024-38819 na cve.org, NVD
- CWE-35: Path Traversal: '.../...//' na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 17. 11. 2024.
Neautentizovanému vzdialenému útočníkovi je umožnené obísť ochranu niektorých polí, pretože oprava pre CVE-2022-22968 zmenila vzory disallowedFields v DataBinder na rozlišovanie bez ohľadu na veľkosť písmen. Metóda String.toLowerCase() však má niektoré výnimky závislé od "Locale", čo môže potenciálne viesť k tomu, že niektoré polia nie sú chránené podľa očakávania [2].
Zraniteľnosť sa nachádza v produkte:
- Spring Framework; >=5.3.0, <=5.3.40; >=6.0.0; <=6.0.24; >=6.1.0, <=6.1.13
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Viac informácií:
- CVE-2024-38820 na cve.org, NVD
- CWE-178: Improper Handling of Case Sensitivity na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 17. 11. 2024.
Neautentizovanému vzdialenému útočníkovi je umožnené obísť autorizáciu pri statických zdrojoch v aplikáciách Spring WebFlux, ak ide o WebFlux aplikáciu, ktorá používa podporu pre statické zdroje Springu a má na tieto zdroje nastavené autorizačné pravidlo "non-permitAll" [3].
Zraniteľnosť sa nachádza v produkte:
- Spring Security; >=5.7.0 ,<=5.7.12; >=5.8.0, <=5.8.14; >=6.0.0; <=6.0.12; >=6.1.0, <=6.1.10; >=6.2.0, <=6.2.6; >=6.3.0, <=6.3.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Viac informácií:
- CVE-2024-38821 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 25. 10. 2024.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 4. 11. 2024.