刚解决Spring Framework 特定条件下目录遍历漏洞（CVE-2024-38816）没几天，又来一个新的，真是哭笑不得啊。
springboot 修复 Spring Framework 特定条件下目录遍历漏洞（CVE-2024-38816）
https://blog.csdn.net/LDY1016/article/details/142908982
不过没关系，springboot官方又发布了新的版本3.3.5，将项目升级到该版本即可
从springboot2.x升级到3.x请查看
springboot2.x升级到3.x实战经验总结https://blog.csdn.net/LDY1016/article/details/136499836
漏洞描述
Spring框架是 Java 平台的一个开源的全栈应用程序框架和控制反转容器实现。2024年10月，Spring官方发布公告披露 CVE-2024-38819 Spring Framework 特定条件下目录遍历漏洞。该漏洞类似CVE-2024-38816，当Spring通过WebMvc.fn或者WebFlux.fn对外提供静态文件时，攻击者可构造恶意请求遍历读取系统上的文件。
影响范围
Spring Framework 5.3.0 - 5.3.40
Spring Framework 6.0.0 - 6.0.24
Spring Framework 6.1.0 - 6.1.13
其他更老或者官方已不支持的版本
安全版本
Spring Framework 5.3.41
Spring Framework 6.0.25
Spring Framework 6.1.14
解决建议
1、建议更新至最新版本。
2、排查代码中是否有类似使用，结合实际情况可确认是否实际受影响。
参考链接 |
|---|
| https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI... |
| CVE-2024-38819: Path traversal vulnerability in functional web frameworks (2nd report) |
