高危 Spring Framework 特定条件下目录遍历漏洞（CVE-2024-38816）

CVE编号

CVE-2024-38816

利用情况

暂无

补丁情况

官方补丁

披露时间

2024-09-13

漏洞描述

Spring框架是 Java 平台的一个开源的全栈应用程序框架和控制反转容器实现。2024年9月，Spring官方发布公告披露 CVE-2024-38816 Spring Framework 特定条件下目录遍历漏洞。当同时满足使用 RouterFunctions 和 FileSystemResource 来处理和提供静态文件 时，攻击者可构造恶意请求遍历读取系统上的文件。 影响范围 Spring Framework 5.3.0 - 5.3.39 Spring Framework 6.0.0 - 6.0.23 Spring Framework 6.1.0 - 6.1.12 其他更老或者官方已不支持的版本 安全版本 Spring Framework 5.3.40 Spring Framework 6.0.24 Spring Framework 6.1.13

解决建议

1、建议更新至最新版本。2、排查代码中是否有类似使用，结合实际情况可确认是否实际受影响。

参考链接
https://spring.io/security/cve-2024-38816

阿里云评分 7.1

• 攻击路径 远程
• 攻击复杂度 容易
• 权限要求 无需权限
• 影响范围 全局影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 数据泄露
• 数据完整性 传输被破坏
• 服务器危害 无影响
• 全网数量 N/A

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com