Spring Boot Misconfiguration: Actuator Endpoint Security Disabled

La aplicación de Spring Boot utiliza puntos finales de actuador que no requieren autenticación.

Las aplicaciones de Spring Boot se pueden configurar para implementar actuadores, que son puntos finales REST que permiten a los usuarios supervisar diferentes aspectos de la aplicación. Hay diferentes actuadores integrados que pueden exponer datos confidenciales y están etiquetados como "sensibles". De forma predeterminada, todos los puntos finales HTTP sensibles están protegidos de modo que solo los usuarios con el rol ACTUATOR pueden acceder a ellos.

Esta aplicación está deshabilitando el requisito de autenticación de puntos finales sensibles:

Ejemplo 1:

management.security.enabled=false

O marcando los puntos finales sensibles como no sensibles:

Ejemplo 2:

endpoints.health.sensitive=false

O bien, un actuador personalizado está establecido como no sensible:

@Component
public class CustomEndpoint implements Endpoint<List<String>> {

    public String getId() {
        return "customEndpoint";
    }

    public boolean isEnabled() {
        return true;
    }

    public boolean isSensitive() {
        return false;
    }

    public List<String> invoke() {
        // Custom logic to build the output
        ...
    }
}