Schwachstelle Spring Framework

[KonradN]

Und es gibt wieder neue Bugfixes für das Spring Framework, die Relevant sind für die Sicherheit der Anwendung:

CVE-2023-34034: WebFlux Security Bypass With Un-Prefixed Double Wildcard Pattern

Level up your Java code and explore what Spring can do for you.

spring.io

Using "**" as a pattern in Spring Security configuration for WebFlux creates a mismatch in pattern matching between Spring Security and Spring WebFlux, and the potential for a security bypass.

CVE-2023-34035: Authorization rules can be misconfigured when using multiple servlets

Level up your Java code and explore what Spring can do for you.

spring.io

Severity is high unless otherwise noted.

Spring Security versions 5.8 prior to 5.8.5, 6.0 prior to 6.0.5 and 6.1 prior to 6.1.2 could be susceptible to authorization rule misconfiguration if the application uses requestMatchers(String) and multiple servlets, one of them being Spring MVC’s DispatcherServlet.

Daher ist es mal wieder wichtig, dass man auf die letzte, aktuelle Version wechselt.

An der Stelle evtl. der Tipp, dass man in das Projekt eine automatische Prüfung der Versionen einbaut. In Maven kann dies z.B. mit dem codehaus Plugin funktionieren:

                <groupId>org.codehaus.mojo</groupId>
                <artifactId>versions-maven-plugin</artifactId>

Eine mögliche Alternative kann auch das Scannen der Projekte mit einem entsprechenden Scanner sein. Snyk prüft z.B. auch Abhängigkeiten bezüglich bekannter Sicherheitslücken.