springboot 修复 Spring Framework 特定条件下目录遍历漏洞（CVE-2024-38819）

刚解决Spring Framework 特定条件下目录遍历漏洞（CVE-2024-38816）没几天，又来一个新的，真是哭笑不得啊。

springboot 修复 Spring Framework 特定条件下目录遍历漏洞（CVE-2024-38816）https://blog.csdn.net/LDY1016/article/details/142908982

不过没关系，springboot官方又发布了新的版本3.3.5，将项目升级到该版本即可

从springboot2.x升级到3.x请查看

springboot2.x升级到3.x实战经验总结https://blog.csdn.net/LDY1016/article/details/136499836

漏洞描述

Spring框架是 Java 平台的一个开源的全栈应用程序框架和控制反转容器实现。2024年10月，Spring官方发布公告披露 CVE-2024-38819 Spring Framework 特定条件下目录遍历漏洞。该漏洞类似CVE-2024-38816，当Spring通过WebMvc.fn或者WebFlux.fn对外提供静态文件时，攻击者可构造恶意请求遍历读取系统上的文件。

影响范围

Spring Framework 5.3.0 - 5.3.40

Spring Framework 6.0.0 - 6.0.24

Spring Framework 6.1.0 - 6.1.13

其他更老或者官方已不支持的版本

安全版本

Spring Framework 5.3.41

Spring Framework 6.0.25

Spring Framework 6.1.14

解决建议

1、建议更新至最新版本。
2、排查代码中是否有类似使用，结合实际情况可确认是否实际受影响。

参考链接
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI...
CVE-2024-38819: Path traversal vulnerability in functional web frameworks (2nd report)