建设视频网站的视频源,工业核信息化部网站备案系统,桐柏微网站开发,wordpress 找不到安装主题文章目录 0.前言1.参考文档2.基础介绍3.漏洞利用原理3.解决方案1. 升级Spring Boot版本2. 限制端点的访问3. 禁用环境端点4. 不公开敏感的Actuator端点5. 开启安全审计 0.前言 背景#xff1a; Spring Boot Actuator的Env端点存在本地文件包含(LFI)漏洞CVE-2020-5421。被扫描到… 文章目录 0.前言1.参考文档2.基础介绍3.漏洞利用原理3.解决方案1. 升级Spring Boot版本2. 限制端点的访问3. 禁用环境端点4. 不公开敏感的Actuator端点5. 开启安全审计 0.前言 背景 Spring Boot Actuator的Env端点存在本地文件包含(LFI)漏洞CVE-2020-5421。被扫描到需要解决。 Spring Boot Actuator是Spring Boot的一个子项目主要用于监控和管理Spring Boot应用程序。在开发或测试环境中开发者通常会开启所有Actuator的端点包括/env端点以便于对应用程序进行诊断和调试。但在生产环境中这种配置可能会导致安全问题。
1.参考文档
Spring Boot官方网站: https://spring.io/projects/spring-bootSpring Boot GitHub仓库: https://github.com/spring-projects/spring-bootSpring官方博客: https://spring.io/blog 这个问题被记录在Spring Boot的GitHub仓库中具体的漏洞描述和解决办法可以在这个链接中找到https://github.com/spring-projects/spring-boot/issues/。 另外Pivotal也在他们的官方博客中发布了一个公告解释了这个问题的严重性以及他们如何处理这个问题https://spring.io/blog/。 注意: 以上链接可能会随着时间推移而更新或改变 如果连接变了可以评论区留言谢谢。 2.基础介绍
CVE-2020-5421就是一个影响Spring Boot Actuator的安全漏洞。这个漏洞主要涉及到环境Env端点。这个端点本来是用来获取应用程序运行环境的详细信息的但由于漏洞的存在攻击者可以通过特制的请求让/env端点返回服务器上任意文件的内容这就是所谓的本地文件包含LFI漏洞。
这个LFI漏洞的存在可能使的应用程序面临严重的安全风险。攻击者可以通过这个漏洞获取到服务器上的任何文件包括应用程序的配置文件数据库配置信息甚至是系统的敏感文件如/etc/passwd。这可能会导致的应用程序的信息泄露甚至是被完全控制。
3.漏洞利用原理
在Spring Boot Actuator的/env端点开发者可以获取到应用程序运行环境的详细信息。然而由于一项设计缺陷攻击者可以通过发送特制的请求让/env端点返回服务器上任意文件的内容。这就是所谓的本地文件包含LFI漏洞。
具体的利用方法是攻击者可以发送一个POST请求到/env端点如POST /actuator/env然后在请求体中设置name参数为[systemProperties][java.home]value参数为任意文件的路径如../../../etc/passwd。
然后再发送一次GET请求到/env端点读取这个文件的内容。由于/env端点会返回java.home系统属性的值而这个值已经被攻击者修改为任意文件的路径所以服务器会返回这个文件的内容。
所以这个漏洞的原理就是攻击者通过修改系统属性java.home的值来读取服务器上任意文件的内容。
这种攻击方法需要攻击者能够访问到的Actuator端点。在生产环境中应该尽量限制Actuator端点的访问权限或者完全禁用它。
3.解决方案
要解决这个本地文件包含(LFI)漏洞可以采取以下的解决方案
1. 升级Spring Boot版本
PivotalSpring Boot的开发商已经在更高版本的Spring Boot中修复了这个漏洞。所以可以通过升级的Spring Boot版本来解决这个问题。具体来说应该至少升级到2.3.9.RELEASE、2.4.4或更高版本。官方地址https://spring.io/projects/spring-boot/
2. 限制端点的访问
在生产环境中应该尽量限制Actuator端点的访问权限。可以通过Spring Security来实现这一点。只有经过身份验证的用户才能访问Actuator端点。 要使用Spring Security来限制Actuator端点的访问首先需要在的项目中引入Spring Security的依赖。如果使用的是Maven构建工具可以在的pom.xml文件中添加如下的依赖
dependencygroupIdorg.springframework.boot/groupIdartifactIdspring-boot-starter-security/artifactId
/dependency然后需要创建一个配置类该类扩展了WebSecurityConfigurerAdapter并覆盖了configure(HttpSecurity http)方法如下
Configuration
EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {Overrideprotected void configure(HttpSecurity http) throws Exception {http.requestMatcher(EndpointRequest.toAnyEndpoint()).authorizeRequests().anyRequest().authenticated().and().httpBasic();}}在这个配置中首先使用requestMatcher(EndpointRequest.toAnyEndpoint())来指定这个安全配置只应用于Actuator端点的请求。然后使用authorizeRequests().anyRequest().authenticated()来要求所有的请求都必须经过身份验证。最后使用httpBasic()来启用HTTP基本认证。
然后需要在的application.properties或application.yml中设置一个用户名和密码这个用户名和密码将用于身份验证。例如
spring.security.user.nameadmin
spring.security.user.passwordsecret这样只有知道用户名和密码的人才能访问的Actuator端点。
3. 禁用环境端点
如果不需要环境端点也可以选择禁用它。可以在的application.properties或application.yml中设置management.endpoint.env.enabledfalse来禁用环境端点。
4. 不公开敏感的Actuator端点
默认情况下Spring Boot 只会暴露少数几个不敏感的Actuator端点比如“health”和“info”。应该确保这个设置没有被修改避免公开其他可能带来安全隐患的端点。
5. 开启安全审计
如果公司的devops 平台做的好的话可以在发布扫描环节扫描这些。或者通过开启安全审计可以记录谁访问了哪些端点何时访问的访问了哪些数据。这对于检测和防止潜在的攻击非常有用。
