Spring Framework Kususu, “İçerik – Disposition” başlığı aracılığıyla uzaktan dosya açıklamasını sağlar

VMware’in Spring Framework’teki Orta Yansıtılmış Dosya İndirme (RFD) Güvenlik Açığı (CVE-2025-41234), yaygın olarak kullanılan Java çerçevesinin birden fazla sürümünü etkileyen yamalanmıştır.

Kusur, saldırganların bir web uygulamasında yanlış yapılandırılmış içerik dispozisyon başlıklarını kullanarak kötü amaçlı kod yürütmelerini sağlar.

Teknik döküm

Güvenlik açığı, uygulamalar Spring’s’i kullandığında ortaya çıkar org.springframework.http.ContentDisposition Sınıf ASCII olmayan karakterlere sahip dosya adlarını ayarlamak için, tasarlanmamış kullanıcı girişinden türetilmiş.

– Reklamcılık –

Saldırganlar, kullanıcıları yürütülebilir uzantılarla dosyaları indirmeye kandıran HTTP yanıtları oluşturabilir (örn., .cmd– .bat) kötü amaçlı komutlar içeren.

Savunmasız kod deseni

java// UNSAFE: Uses non-ASCII charset with user-supplied input
ContentDisposition.builder("attachment")
    .filename(userInput, StandardCharsets.UTF_8)  // Non-ASCII charset
    .build();

Güvenli Alternatifler

java// SAFE: Uses ASCII charset
ContentDisposition.builder("attachment")
    .filename(userInput, StandardCharsets.US_ASCII)  // ASCII restriction
    .build();

// SAFE: Sanitizes input
String sanitized = FilenameUtils.sanitize(userInput);
ContentDisposition.builder("attachment")
    .filename(sanitized, StandardCharsets.UTF_8)
    .build();

Risk analizi

Güvenlik açığı, kullanıcı etkileşimi ve bağlamsal kapsam değişikliklerine olan bağımlı olması nedeniyle bir CVSS 6.8 (orta) puan verir.

Başarılı sömürü:

1. Kötü niyetli bir bağlantıdan bir dosya indiren bir kurban
2. Yürütülebilir uzantılar içeren dosya adı
3. Yanıt gövdesi saldırgan kontrollü komutları içerir.

Etkilenen versiyonlar ve hafifletme

Etkilenen sürümler

• Bahar Çerçevesi 6.2.0–6.2.7
• Bahar Çerçevesi 6.1.0–6.1.20
• Bahar Çerçevesi 6.0.5–6.0.28 (Ticari)

Yamalı versiyonlar

VMware, açık kaynaklı kullanıcılar için acil yükseltmeler önerir. Spring Boot 3.1/3.2 kullanan ticari müşteriler, 3.1.17.1 veya 3.2.15.1 hotfixes uygulamalıdır.

Uygulamalar savunmasız değildir:

• Ayarlamaktan kaçının Content-Disposition başlıklar
• Kullanmak filename(String) Karakul setine özgü yöntemler yerine
• Apache Commons IO gibi kütüphaneleri kullanarak dosya adlarını sterilize et FilenameUtils.

Sektör müdahalesi

Bahar ekibi, açıklamadan sonraki 24 saat içinde yamaları yayınladı ve koordineli güncellemeler şunlardı.

• Spring Framework 6.1.21 (6.1.x için son OSS sürümü)
• Spring Framework 6.2.8 (toplam 39 düzeltme)
• İşletmeler için ticari arka planlar.

Güvenlik Araştırmacısı Jakob Linskeseder, Dynatrace Kusurunu tanımladı ve başlık manipülasyon saldırılarındaki devam eden riskleri vurguladı.

Bu, Microsoft Outlook’ta (CVE-2025-47176) ve Windows Secure Boot (CVE-2025-3052) ‘de son güvenlik açıklarını izler ve titiz giriş validasyonu ihtiyacının altını çizer.

Çözüm

CVE-2025-41234, popüler çerçevelerdeki ince API’nin kötüye kullanımının kurumsal çapta riskler yaratabileceğini göstermektedir.

Spring’s’i kullanan geliştiriciler ContentDisposition İnşaat derhal:

1. Yamalı sürümlere yükseltme
2. Dosya adı işleme iş akışlarını denetleme
3. Beyaz liste izin verilen karakter setleri için uygulayın

Saldırı belirli ön koşullar gerektirirken, istemci tarafı kod yürütme potansiyeli, web uygulaması güvenlik protokollerinde önceliklendirmeyi garanti eder.

Bu haberi ilginç bul! Anında güncellemeler almak için bizi Google News, LinkedIn ve X’te takip edin