Spring Boot Misconfiguration: Actuator Endpoint Security Disabled

Spring Boot アプリケーションは、認証を必要としない Actuator エンドポイントを使用します。

Spring Boot アプリケーションは、アプリケーションのさまざまな側面を監視するための REST エンドポイントである Actuator をデプロイするように設定できます。機密データを公開する可能性がある各種の組み込み Actuator があり、それらは "機密" であることがわかるラベルが付いています。デフォルトでは、機密性の高いすべての HTTP エンドポイントは、ACTUATOR ロールを持つユーザーのみにアクセスを許可することで保護されています。

このアプリケーションは、機密性の高いエンドポイントの認証要件を無効にしています。

例 1:

management.security.enabled=false

または、機密性の高いエンドポイントを機密性が高くないものとしてマークしています。

例 2:

endpoints.health.sensitive=false

または、カスタムの Actuator が、機密性が高くないものとして設定されています。

@Component
public class CustomEndpoint implements Endpoint<List<String>> {

    public String getId() {
        return "customEndpoint";
    }

    public boolean isEnabled() {
        return true;
    }

    public boolean isSensitive() {
        return false;
    }

    public List<String> invoke() {
        // Custom logic to build the output
        ...
    }
}