Reino: Security Features
La seguridad de un software no es un software de seguridad. Nos preocupamos de cuestiones como la autenticación, el control de acceso, la confidencialidad, la criptografía y la gestión de privilegios.
Spring Boot Misconfiguration: Admin MBean Enabled
Abstract
La aplicación de Spring Boot está configurada para exponer un objeto MBean de administración.
Explanation
Spring Boot permite a los desarrolladores habilitar características relacionadas con el administrador para la aplicación mediante la especificación de la propiedad
Nota: Si usa una versión de JRE vulnerable a CVE-2016-3427 (corregida en Java 8 Update 91, abril de 2016), un atacante podrá pasar cualquier objeto Java serializado como credenciales, lo que puede llevar a la ejecución de código arbitrario cuando la JVM remota lo deserializa.
spring.application.admin.enabled. Esto expone SpringApplicationAdminMXBean en la plataforma MBeanServer. Los desarrolladores podrían usar esta característica para administrar la aplicación de Spring Boot de forma remota; sin embargo, esta característica expone una superficie de ataque adicional en forma de un punto final JMX remoto. Dependiendo de la configuración de MBeanServer, el objeto MBean pueden exponerse de forma local o remota y puede requerir autenticación o no. En el peor de los casos, los atacantes podrán administrar la aplicación de forma remota, incluso cerrarla sin necesidad de autenticación. En el mejor de los casos, el servicio será tan seguro como las credenciales utilizadas para proteger el servidor.Nota: Si usa una versión de JRE vulnerable a CVE-2016-3427 (corregida en Java 8 Update 91, abril de 2016), un atacante podrá pasar cualquier objeto Java serializado como credenciales, lo que puede llevar a la ejecución de código arbitrario cuando la JVM remota lo deserializa.
References
[1] Spring Boot Reference Guide Spring
[2] Standards Mapping - General Data Protection Regulation (GDPR) Indirect Access to Sensitive Data
[3] Standards Mapping - OWASP API 2023 API8 Security Misconfiguration
[4] Standards Mapping - OWASP Mobile 2014 M1 Weak Server Side Controls
[5] Standards Mapping - OWASP Top 10 2010 A6 Security Misconfiguration
[6] Standards Mapping - OWASP Top 10 2013 A5 Security Misconfiguration
[7] Standards Mapping - OWASP Top 10 2017 A6 Security Misconfiguration
[8] Standards Mapping - OWASP Top 10 2021 A05 Security Misconfiguration
[9] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0 Requirement 7.3.1
[10] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0.1 Requirement 7.3.1
[11] Standards Mapping - Web Application Security Consortium Version 2.00 Application Misconfiguration (WASC-15)
desc.config.java.spring_boot_misconfiguration_admin_mbean_enabled