PT-2024-2941 · Unknown+2 · Spring Framework+4

L0Ne1Y · Publicado 2024-04-11 · Atualizado 2026-04-24 · CVE-2024-22262

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.4

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:N

Nome do software vulnerável e versões afetadas

Versões do Spring Framework anteriores à 5.3.34

Versões do Spring Framework anteriores à 6.0.19

Versões do Spring Framework anteriores à 6.1.6

Descrição

A vulnerabilidade existe devido à validação insuficiente dos dados inseridos pelo usuário no componente UriComponentsBuilder do Spring Framework. Isso pode permitir que um invasor remoto execute um ataque de falsificação de solicitação do lado do servidor (SSRF). Aplicativos que utilizam o UriComponentsBuilder para analisar URLs fornecidas externamente e realizar verificações de validação no host são afetados.

Recomendações

Para versões do Spring Framework anteriores à 5.3.34, atualize para a versão 5.3.34 ou posterior.

Para versões do Spring Framework anteriores à 6.0.19, atualize para a versão 6.0.19 ou posterior.

Para versões do Spring Framework anteriores à 6.1.6, atualize para a versão 6.1.6 ou posterior.

Correção

Open Redirect

SSRF

Enumeração de Fraquezas

CWE-601

CWE-918

Identificadores relacionados

BDU:2024-03108

CVE-2024-22262

GHSA-2WRP-6FG6-HMC5

Produtos afetados

Bamboo

Bitbucket

Confluence

Debian

Spring Framework

Referências · 29

• https://github.com/spring-projects/spring-framework · Nota
• https://github.com/spring-projects/spring-framework/blob/main/spring-web/src/main/java/org/springframework/web/util/UriComponentsBuilder.java · Nota
• https://cve.org/CVERecord?id=CVE-2024-22262 · Nota de Segurança
• https://twitter.com/fletch_ai/status/1778996674926727485 · Publicação no Twitter
• https://twitter.com/cracbot/status/1780495181717921941 · Publicação no Twitter
• https://security.netapp.com/advisory/ntap-20240524-0003 · Nota
• https://spring.io/security/cve-2024-22262 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-22262 · Aviso do Fabricante
• https://twitter.com/herodevs/status/1892659901958144162 · Publicação no Twitter
• https://jira.atlassian.com/browse/CONFSERVER-95973 · Nota
• https://twitter.com/snicoll/status/1778383445103632678 · Publicação no Twitter
• https://jira.atlassian.com/browse/BSERV-19425 · Nota
• https://osv.dev/vulnerability/GHSA-2wrp-6fg6-hmc5 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-22262 · Aviso do Fabricante
• https://t.me/cvenotify/76897 · Publicação no Telegram