PT-2024-28230 · Unknown · Spring Security

Josh Cummings · Publicado 2024-08-19 · Atualizado 2025-02-28 · CVE-2024-38810

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões 6.3.0 a 6.3.1 do Spring Security

Descrição

O problema está relacionado à falta de autorização ao usar @AuthorizeReturnObject no Spring Security, permitindo que um invasor torne as anotações de segurança ineficazes. Isso potencialmente permite o acesso não autorizado a dados confidenciais dentro dos aplicativos afetados. De acordo com os dados disponíveis, há aproximadamente 8.577 aplicativos potencialmente afetados, e mais de 1.200 resultados foram encontrados em uma plataforma de busca específica.

Recomendações

Para as versões 6.3.0 e 6.3.1 do Spring Security, considere desativar o uso de @AuthorizeReturnObject até que um patch esteja disponível para impedir que invasores tornem as anotações de segurança ineficazes.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Improper Authentication

Missing Authorization

Enumeração de Fraquezas

CWE-287

CWE-862

Identificadores relacionados

CVE-2024-38810

GHSA-HMQF-WPQ9-JQ83

Produtos afetados

Spring Security

Referências · 18

• https://github.com/spring-projects/spring-security · Nota
• https://twitter.com/the_yellow_fall/status/1826074030618849527 · Publicação no Twitter
• https://twitter.com/zoomeye_team/status/1826185734799163546 · Publicação no Twitter
• https://t.me/cvenotify/91222 · Publicação no Telegram
• https://spring.io/security/cve-2024-38810 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-38810 · Nota de Segurança
• https://t.me/cvenotify/112927 · Publicação no Telegram
• https://twitter.com/fofabot/status/1826578621190099153 · Publicação no Twitter
• https://twitter.com/Brandefense/status/1828028394300178484 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-hmqf-wpq9-jq83 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1825742406865588308 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1825774099701895667 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-38810 · Aviso do Fabricante
• https://twitter.com/ohhara_shiojiri/status/1826230026330935778 · Publicação no Twitter
• https://t.me/pentestingnews/50633 · Publicação no Telegram