PT-2024-7497 · Spring · Spring Webflux

Tkswifty · Publicado 2024-10-25 · Atualizado 2026-05-25 · CVE-2024-38821

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.4

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:N

Nome do software vulnerável e versões afetadas:

Spring WebFlux (versões afetadas não especificadas)

Descrição:

O problema é causado por falhas no procedimento de autorização dos frameworks web funcionais WebMvc.fn e WebFlux.fn do Spring Framework. Isso pode permitir que um invasor remoto comprometa a confidencialidade, a integridade e a disponibilidade de informações protegidas. Para que um aplicativo seja afetado, ele deve ser um aplicativo WebFlux, utilizar o suporte a recursos estáticos do Spring e ter uma regra de autorização diferente de permitAll aplicada ao suporte a recursos estáticos. Uma exploração para este problema já foi divulgada e está sendo ativamente utilizada.

Recomendações:

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Authorization

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-285

CWE-770

Identificadores relacionados

BDU:2024-08880

CLEANSTART-2026-KP10590

CVE-2024-38821

GHSA-C4Q5-6C82-3QPW

Produtos afetados

Spring Webflux

Referências · 46

• 🔥 https://github.com/mouadk/cve-2024-38821 · Exploit
• https://github.com/spring-projects/spring-security · Nota
• https://github.com/spring-projects/spring-security/commit/4ce7cde15599c0447163fd46bac616e03318bf5b · Nota
• https://github.com/spring-projects/spring-security/commit/0e257b56ce35402558a260ffa6b368982f9a7934 · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-KP10590.json · Nota
• https://twitter.com/dailycve/status/2050024030309167206 · Publicação no Twitter
• https://twitter.com/TuxCare_/status/1852070689794330711 · Publicação no Twitter
• https://t.me/cvenotify/99720 · Publicação no Telegram
• https://twitter.com/transilienceai/status/1860548990040740177 · Publicação no Twitter
• https://t.me/cvedetector/9093 · Publicação no Telegram
• https://twitter.com/ksg93rd/status/1883227499204653357 · Publicação no Twitter
• https://twitter.com/m1ke_n1/status/1852600738804830432 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-47561 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2024-38821 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-3505 · Nota de Segurança