Spring Boot Misconfiguration: Actuator Endpoint Security Disabled

O aplicativo Spring Boot usa pontos de extremidade do atuador que não requerem autenticação.

Os aplicativos Spring Boot podem ser configurados para implantar Atuadores, que são terminais REST que permitem aos usuários monitorar diferentes aspectos do aplicativo. Existem diferentes atuadores integrados que podem expor dados confidenciais e são rotulados como "confidenciais". Por padrão, todos os endpoints HTTP confidenciais são protegidos de forma que apenas os usuários que têm uma função ACTUATOR podem acessá-los.

Este aplicativo está desativando o requisito de autenticação para endpoints confidenciais:

Exemplo 1:

management.security.enabled=false

Ou marcando endpoints como não confidenciais:

Exemplo 2:

endpoints.health.sensitive=false

Ou um atuador personalizado está definido como não confidencial:

@Component
public class CustomEndpoint implements Endpoint<List<String>> {

    public String getId() {
        return "customEndpoint";
    }

    public boolean isEnabled() {
        return true;
    }

    public boolean isSensitive() {
        return false;
    }

    public List<String> invoke() {
        // Custom logic to build the output
        ...
    }
}