File Disclosure: Spring Webflow

ユーザー入力を使用してサーバー側のリダイレクト パスを構築すると、攻撃者がアプリケーション バイナリ (アプリケーション クラスまたは jar ファイルを含む) をダウンロードしたり、保護されたディレクトリ内の任意のファイルを表示したりする可能性があります。

Spring Webflow では、ビュー リゾルバーを使用してビュー名を実際のレンダリング テクノロジーに変換します。通常、ビュー リゾルバーは、プレフィックスとサフィックスを使用してファイルのタイプと場所を制限します。しかし、リクエスト パラメーターを使用してビュー名を指定すると、このメカニズムを回避できます。
例 1: 次の Spring Webflow 設定では、リクエスト パラメーターを使用してビュー名を指定します。

<webflow:end-state id="finalStep" view="${requestParameters.url}"/>
<webflow:view-state id="showView" view="${requestParameters.test}">

デフォルトの Spring Webflow ビュー リゾルバーは、「/WEB-INF/views/」内の jsp ファイルのみを解決できるようにすることを目的としています。

<bean class="org.springframework.web.servlet.view.
               InternalResourceViewResolver">
    <property name="prefix" value="/WEB-INF/views/" />
    <property name="suffix" value=".jsp" />
</bean>

攻撃者が次の URL を使用して applicationContext.xml ファイルを表示する可能性があります。"http://www.yourcorp.com/webApp/logic?url=../applicationContext.xml;x="
InternalResourceViewResolver は、設定されているプレフィックスを取得し、ビュー属性で渡された値を連結し、最後にサフィックスを追加します。
結果の相対 URL "/WEB-INF/views/../applicationContext.xml;x=.jsp" がサーバー側のリクエスト ディスパッチャーに渡されます。セミコロンを使用すると、攻撃者は .jsp サフィックスをパス パラメーターに変換できます。この攻撃は、Web アプリのルートの下にあるファイルを開示するために使用される可能性があります。