Spring Framework’te yeni keşfedilen bir güvenlik açığı tespit edildi; bu güvenlik açığı, saldırganların sistemdeki herhangi bir dosyaya erişebilmesine olanak tanıyor.
CVE-2024-38816 olarak izlenen bu güvenlik açığı, WebMvc.fn veya WebFlux.fn işlevsel web çerçevelerini kullanan uygulamaları etkiler. Bir yol geçiş güvenlik açığı olarak sınıflandırılır ve etkilenen sistemler için yüksek risk oluşturur.
CVE-2024-38816-Güvenlik Açığı
CVE-2024-38816 numaralı güvenlik açığı, uygulamaların RouterFunctions ile FileSystemResource konumunu birleştirerek statik kaynaklara hizmet vermesi durumunda ortaya çıkıyor.
Bu yapılandırma, sistem dosyalarına yetkisiz erişim elde etmek için kötü amaçlı HTTP istekleri oluşturan saldırganlar tarafından kullanılabilir.
Bu güvenlik açığı, hassas verilerin açığa çıkmasına ve sistem bütünlüğünün tehlikeye girmesine yol açabileceği için özellikle endişe verici.
Ancak, Spring Framework kullanan tüm sistemler savunmasız değildir. Spring Security HTTP Güvenlik Duvarını kullanan veya Tomcat veya Jetty sunucularında çalışan uygulamalar bu kötü amaçlı isteklere karşı korunur. Bu yapılandırmalar, güvenlik açığını istismar etme girişimlerini etkili bir şekilde engeller ve reddeder.
Decoding Compliance: What CISOs Need to Know – Join Free Webinar
Etkilenen Yay Ürünleri ve Sürümleri
Bu güvenlik açığından etkilenen Spring Framework sürümleri şunlardır:
- Spring Çerçevesi 5.3.0 – 5.3.39
- Spring Çerçevesi 6.0.0 – 6.0.23
- Spring Çerçevesi 6.1.0 – 6.1.12
Spring Framework’ün eski ve desteklenmeyen sürümleri de bu soruna karşı savunmasızdır.
Bu kritik güvenlik açığını gidermek için, etkilenen sürümlerin kullanıcıları aşağıda belirtildiği gibi ilgili sabit sürüme yükseltme yapmalıdır:
| Etkilenen Sürüm(ler) | Sürümü Düzelt | Mevcutluk |
| 5.3.x | 5.3.40 | Yalnızca Kurumsal Destek |
| 6.0.x | 6.0.24 | Yalnızca Kurumsal Destek |
| 6.1.x | 6.1.13 | Açık Kaynak (OSS) |
Eski ve desteklenmeyen sürümleri kullananlar için, uygulamalarında Spring Security Güvenlik Duvarını etkinleştirmek veya web sunucusu olarak Tomcat veya Jetty’ye geçmek etkili birer koruma stratejisi olabilir; çünkü bu yapılandırmalar kötü amaçlı istekleri otomatik olarak reddeder.
Bu güvenlik açığı yetkisiz dosya erişimi açısından önemli bir risk oluşturduğundan, Spring Framework’ün etkilenen sürümlerini kullanan kuruluşların güvenli sürümlere yükseltme yaparak veya önerilen azaltma önlemlerini uygulayarak derhal harekete geçmeleri hayati önem taşımaktadır.
Bu tür güvenlik açıklarına karşı dikkatli ve proaktif olmak, güçlü siber güvenlik savunmalarını sürdürmek için olmazsa olmazdır.
Geliştiricilerin ve sistem yöneticilerinin yapılandırmalarını gözden geçirmeleri ve uygulamalarını CVE-2024-38816 aracılığıyla olası istismardan korumak için uygun güvenlik önlemlerinin alındığından emin olmaları önemle rica olunur.
Simulating Cyberattack Scenarios With All-in-One Cybersecurity Platform – Watch Free Webinar