Sintesi

Aggiornamenti di sicurezza VMware risolvono una vulnerabilità in Spring, noto framework open source per lo sviluppo di applicazioni Java.

Tale vulnerabilità – strettamente correlata alla CVE-2024-22243 – interessa le applicazioni che utilizzano la classe UriComponentsBuilder per processare l’hostname¹  degli URL forniti in una richiesta, rendendole potenzialmente suscettibili ad attacchi di tipo “Open Redirect” e “Server-Side Request Forgery (SSRF)”.

Tipologia

• Information Disclosure
• Security Restriction Bypass
• URL Redirection

Prodotti e versioni affette

Spring Framework:

• 6.1.x, dalla versione 6.1.0 alla 6.1.4
• 6.0.x, dalla versione 6.0.0 alla 6.0.17
• 5.3.x, dalla versione 5.3.0 alla 5.3.32
• versioni precedenti non più supportate

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza riportato nella sezione Riferimenti.

Identificatori univoci vulnerabilità

CVE-2024-22259

Riferimenti

https://spring.io/security/cve-2024-22259

¹Nello specifico, l’Hostname è quella parte racchiusa tra il protocollo (es: https://) e il primo slash (/) subito dopo il dominio di primo livello.

²La presente stima è effettuata tenendo conto di diversi parametri, tra i quali: CVSS, disponibilità di patch/workaround e PoC, diffusione dei software/dispositivi interessati nella comunità di riferimento.