spring Framework 特定条件下目录遍历漏洞（CVE-2024-38816）修复
spring Framework 特定条件下目录遍历漏洞（CVE-2024-38816）修复
漏洞描述
CVE-2024-38816: Path traversal vulnerability in functional web frameworks
通过功能性 Web 框架 WebMvc.fn 或 WebFlux.fn 提供静态资源的应用程序容易受到路径遍历攻击。攻击者可以编写恶意 HTTP 请求并获取文件系统上任何可由 Spring 应用程序正在运行的进程访问的文件。
具体来说，当以下两个条件都成立时，应用程序就容易受到攻击：
- Web 应用程序用于
RouterFunctions提供静态资源 - 资源处理明确配置了
FileSystemResource位置
但是，当以下任何一项满足时，恶意请求都会被阻止和拒绝：
- Spring Security HTTP 防火墙正在使用中
- 应用程序在 Tomcat 或 Jetty 上运行
受影响的 Spring 产品和版本
Spring 框架
- 5.3.0 - 5.3.39
- 6.0.0 - 6.0.23
- 6.1.0 - 6.1.12
- 较旧的、不受支持的版本也受到影响
分析：
通常我们会把sprintboot项目打包war部署tomcat，
或者直接本地springboot 运行(内置tomcat)
上述两种方式都阻止漏洞，因为tomcat会拦截，返回错误如下：
<!doctype html>
<html lang="en"><head><title>HTTP Status 400 – Bad Request</title><style type="text/css">body {font-family: Tahoma, Arial, sans-serif;}h1,h2,h3,b {color: white;background-color: #525D76;}h1 {font-size: 22px;}h2 {font-size: 16px;}h3 {font-size: 14px;}p {font-size: 12px;}a {color: black;}.line {height: 1px;background-color: #525D76;border: none;}</style>
</head><body><h1>HTTP Status 400 – Bad Request</h1><hr class="line" /><p><b>Type</b> Status Report</p><p><b>Message</b> Invalid URI</p><p><b>Description</b> The server cannot or will not process the request due to something that is perceived to be aclient error (e.g., malformed request syntax, invalid request message framing, or deceptive request routing).</p><hr class="line" /><h3>Apache Tomcat/9.0.46</h3>
</body></html>综上，内置和外置的tomcat都会校验地址，通过后才会进入spring webmvc解析才可能触发漏洞。
因此要重现漏洞需用不知名web服务器。 webflux默认采用netty也无需处理。
漏洞原因：spring地址解析URL地址代码考虑欠缺，需要依赖前置的web服务器(比如tomcat)拦截
修复参考：
https://xz.aliyun.com/t/15779?u_atoken=6b4701692e1b9ec417acbd1e059d102a&u_asig=0a47309317308602512743859e010f
相关文章：
spring Framework 特定条件下目录遍历漏洞（CVE-2024-38816）修复
spring Framework 特定条件下目录遍历漏洞（CVE-2024-38816）修复 漏洞描述 CVE-2024-38816: Path traversal vulnerability in functional web frameworks 通过功能性 Web 框架 WebMvc.fn 或 WebFlux.fn 提供静态资源的应用程序容易受到路径遍历攻击。攻…...
ESP32-C3 入门笔记03：VScode + flash_download_tool 下载烧录程序（ESP-IDF + PlatformIO）
ESP32-C3 支持多种烧录方式，主要包括以下几种： VS Code 串口烧录：使用 VS Code 配合 PlatformIO 或 ESP-IDF 插件进行串口烧录。串口连接通常使用 UART 接口，通过 USB 转串口芯片与电脑连接。步骤大致如下： 配置 VS Co…...
Node.js——fs模块-文件重命名和移动
1、在Node.js中，我们可以使用 rename 或 renameSync 来移动或重命名文件或文件夹 2、语法： fs.rename(oldPath,newPath,callback) fs.renameSync(oldPath,newPath) 参数说明： oldPath 文件当前的路径 newPath 文件新的路径 callback 操…...
vue2.0版本引入Element-ui问题解决
作者：fyupeng 技术专栏：☞ https://github.com/fyupeng 项目地址：☞ https://github.com/fyupeng/distributed-blog-system-api 留给读者 使用版本： vue:2.6.14 element-ui:2.15.14 一、问题及解决 1、安装后组件没有生效&#x…...
qt QTableView详解
1、概述 QTableView 是 Qt 框架中的一个高级视图类，用于以表格形式展示二维数据。它基于 QAbstractItemView，并与模型（通常是 QAbstractTableModel 或 QStandardItemModel）结合使用，以实现数据的展示和交互。QTableVi…...
将Notepad++添加到右键菜单【一招实现】
一键添加注册表 复制以下代码保存为 Notepad.reg，将红框内路径修改为自己电脑的“Notepad.exe路径”后，再双击运行即可。 Windows Registry Editor Version 5.00[HKEY_CLASSES_ROOT\*\shell\NotePad] "Notepad" "Icon""D:\\N…...
Nature Methods | 基于流形约束的RNA速度推断精准解析细胞周期动态调节规律
生信碱移 VeloCycle算法 VeloCycle：基于流形约束的RNA速度推断在细胞周期动态中的精准解析 今天给各位老铁们分享一篇于2024年10月31号发表在 Nature Methods [IF: 36.1] 的文章："Statistical inference with a manifold-constrained RNA velocity…...
在离线环境中使用sealos工具快速部署一套高可用的k8s服务集群
文章目录 项目基础信息工具版本测试环境 下载资源文件下载sealos二进制命令文件下载k8s安装镜像和组件资源下载docker离线安装包下载Docker Registry容器镜像 NFS共享配置coredns服务的DNS解析配置安装配置sealos、k8s服务安装sealos工具导入k8s及相关组件镜像安装 K8s 集群部署…...
ReactPress系列—Next.js 的动态路由使用介绍
ReactPress Github项目地址：https://github.com/fecommunity/reactpress 欢迎提出宝贵的建议，感谢Star。 Next.js 的动态路由使用介绍 Next.js 是一个流行的 React 框架，支持服务端渲染、静态站点生成和动态路由等功能，极大地简化…...
DevOps业务价值流：需求设计最佳实践
DevOps实践正推动着产品快速迭代与高质量交付，但需求设计作为产品开发的关键起点，往往被忽视。它不仅是收集与分析需求的过程，更是将需求转化为可实施产品特性的核心。本文深入探讨DevOps业务价值流中的需求设计，从调研、整理、原…...
A15基于Spring Boot的宠物爱心组织管理系统的设计与实现
🙊作者简介：在校研究生，拥有计算机专业的研究生开发团队，分享技术代码帮助学生学习，独立完成自己的网站项目。 代码可以查看文章末尾⬇️联系方式获取，记得注明来意哦~🌹 赠送计算机毕业设计600…...
RC高通滤波器Bode图分析（传递函数零极点）
RC高通滤波器 我们使得R1K，C1uF；电容C的阻抗为Xc； 传递函数 H ( s ) u o u i R X C R R 1 s C R s R C 1 s R C （其中 s j ω ） H(s)\frac{u_{o} }{u_{i} } \frac{R }{X_{C}R} \frac{R }{\frac{1}{sC}R} \fra…...
SpeechT5 模型
微软开源的 SpeechT5 语音模型，主要包括以下功能 语音转文字：用于自动语音识别（ASR）。文字转语音：用于合成音频（TTS）。语音转语音：用于不同声音之间的转换或进行语音增强。 T5 网络…...
网站用户行为分析：方法、工具与实践
摘要：随着互联网发展，网站竞争激烈，用户行为分析对网站建设与运营至关重要。本文综合介绍了基于服务器日志和客户端收集用户行为数据的方法，包括各自优缺点及相关工具；阐述了网站用户分析的五大常规方法；以…...
医疗医药企业新闻稿怎么写？健康行业品牌宣传背书的报纸期刊杂志媒体有哪些
【本篇由 言同数字全球媒体 原创】在撰写医疗、医学和制药相关稿件时，遵循一定的结构和内容规范至关重要。以下是一些写作建议以及适合发表健康类稿件的报纸、杂志及新闻媒体的推荐。 一、稿件写作结构 标题 原则：简洁、明了，能够准确传达主…...
2024-11-06 问AI: [AI面试题] 人工智能如何用于欺诈检测和网络安全？
文心一言 人工智能在欺诈检测和网络安全领域的应用日益广泛，其强大的数据处理和分析能力为这一领域带来了革命性的变化。以下详细介绍人工智能在欺诈检测和网络安全中的具体应用： 一、欺诈检测 身份认证和访问控制： 通过验证用户的身份信息…...
个人3DCoat设置分享
个人3DCoat设置分享 将当前选择的对象置于屏幕正中显示: /键 版本3DCoat 2023 3DCoat自定义快捷键: Quick Pick: Q Transform: T Primitives: Shift A Cut Off : K Res : Shift Clear Space : Delete 隐藏/显示对象： 点击Sculpt Tree中的眼睛按钮 显示隐…...
Spark 程序开发与提交：本地与集群模式全解析
Spark 的介绍与搭建：从理论到实践-CSDN博客 Spark 的Standalone集群环境安装与测试-CSDN博客 PySpark 本地开发环境搭建与实践-CSDN博客 目录 一、本地开发与远程提交测试 （一）问题背景 （二）解决方案 集群环境准…...
Linux编程：DMA增加UDP 数据传输吞吐量并降低延迟
文章目录 0. 引言1. 原理介绍1.1 DMA 与中断的协同机制1.2. DMA优化UDP 数据包发送 2. DMA 配置优化 0. 引言 UDP 网络传输常面临高 CPU 占用、传输延迟和丢包等挑战。本文将介绍 DMA 如何优化 UDP 数据包的发送，以提高吞吐量、减少延迟并降低 CPU 占用。 阅读本文…...
鸿蒙开启无线调试
DevEco Studio没找到通过WI-FI连接手机的可视化操作按钮，就去官网看了下hdc - TCP连接场景 操作也比较简单： 第1步：PC通过USB连接手机/平板； 第2步：在手机/平板的“开发者选项”中打开“无线调试”并记录下IP和端口…...
C. DS循环链表—约瑟夫环 (Ver. I - B)
题目描述 N个人坐成一个圆环（编号为1 - N），从第S个人开始报数，数到K的人出列，后面的人重新从1开始报数。问最后剩下的人的编号。 例如：N 3，K 2，S 1。2号先出列，然后是…...
【刷题】优选算法
优选算法 双指针 202. 快乐数 链接：. - 力扣（LeetCode） 【思路】 第一个实例是快乐数，因为会变为1且不断是1的循环 第二个实例不可能为1，因为会陷入一个没有1的循环 根据两个实例和鸽巢原理可以发现不断的平方和最…...
Python 在PDF中绘制形状（线条、矩形、椭圆形等）
在PDF中绘制图形可以增强文档的视觉效果。通过添加不同类型的形状，如实线、虚线、矩形、圆形等，可以使文档更加生动有趣，提高读者的阅读兴趣。这对于制作报告、演示文稿或是教材特别有用。本文将通过以下几个示例介绍如何使用Python 在PDF中绘…...
《今日制造与升级》是什么级别的期刊？是正规期刊吗？能评职称吗？
问题解答 问：《今日制造与升级》是不是核心期刊？ 答：不是，是知网收录的正规学术期刊。 问：《今日制造与升级》级别？ 答：国家级。主管单位：中国机械工业联合会 …...
loading为什么不更新
场景：封装好的弹框，按钮上加了个loading状态，根据传入的值弹框提交的模块内容不一样。loading更新过后，但是值没有变。 注）写法一loading不更新，写法二loading值更新。 一、写法一 写法一中的 acceptanc…...
Rust 力扣 - 1652. 拆炸弹
文章目录 题目描述题解思路题解代码题目链接 题目描述 题解思路 我们只需要遍历长度长度为k的窗口，然后把窗口内数字之和填充到结果数组中的对应位置即可 题解代码 impl Solution {pub fn decrypt(code: Vec<i32>, k: i32) -> Vec<i32> {let n c…...
使用Golang实现开发中常用的【并发设计模式】
使用Golang实现开发中常用的【并发设计模式】 设计模式是解决常见问题的模板，可以帮助我们提升思维能力，编写更高效、可维护性更强的代码 屏障模式 未来模式 管道模式 协程池模式 发布订阅模式 下面是使用 Go 语言实现屏障模式、未来模式、管道模式…...
基于Zynq FPGA对雷龙SD NAND的性能测试评估
文章目录 一、SD NAND特征1.1 SD卡简介1.2 SD卡Block图 二、SD卡样片三、Zynq测试平台搭建3.1 测试流程3.2 SOC搭建 四、软件搭建五、测试结果六、总结 一、SD NAND特征 1.1 SD卡简介 雷龙的SD NAND系列有多种型号，本次测试使用的是CSNP4GCR01-AMW和CSNP32GCR01-A…...
4.WebSocket 配置与Nginx 的完美结合
序言 在现代 web 应用中，WebSocket 作为一种全双工通信协议，为实时数据传输提供了强大的支持。若要确保 WebSocket 在生产环境中的稳定性和性能，使用 Nginx 作为反向代理服务器是一个明智的选择。本篇文章将带你了解如何在 Nginx 中配置 Web…...
Docker：镜像构建 DockerFile
Docker：镜像构建 DockerFile 镜像构建docker build DockerfileFROMCOPYENVWORKDIRADDRUNCMDENTRYPOINTUSERARGVOLUME 镜像构建 在Docker官方提供的镜像中，大部分都是基础镜像，他们只提供某个简单的功能，如果想要一个功能更加丰富…...