Reino: Security Features
Segurança de software não é o mesmo que software de segurança. Aqui, estamos interessados em tópicos como autenticação, controle de acesso, confidencialidade, criptografia e gestão de privilégios.
Spring Boot Misconfiguration: Admin MBean Enabled
Abstract
O aplicativo Spring Boot é configurado para expor um MBean de administração.
Explanation
O Spring Boot permite que os desenvolvedores habilitem recursos relacionados ao administrador para o aplicativo, especificando a propriedade
Observação: Se estiver usando uma versão JRE vulnerável ao CVE-2016-3427 (corrigido no Java 8 Update 91, abril de 2016), um invasor será capaz de passar qualquer objeto Java serializado como as credenciais, o que pode levar à execução arbitrária de código quando o JVM remoto desserializa.
spring.application.admin.enabled. Isso expõe o SpringApplicationAdminMXBean na plataforma MBeanServer. Os desenvolvedores podem usar esse recurso para administrar o aplicativo Spring Boot remotamente; no entanto, esse recurso expõe uma superfície de ataque adicional na forma de um endpoint JMX remoto. Dependendo da configuração do MBeanServer o MBean pode ser exposto local ou remotamente e pode ou não exigir autenticação. Na pior das hipóteses, os invasores serão capazes de gerenciar o aplicativo remotamente, incluindo desligá-lo sem qualquer autenticação. Na melhor das hipóteses, o serviço será tão forte quanto as credenciais usadas para proteger o servidor.Observação: Se estiver usando uma versão JRE vulnerável ao CVE-2016-3427 (corrigido no Java 8 Update 91, abril de 2016), um invasor será capaz de passar qualquer objeto Java serializado como as credenciais, o que pode levar à execução arbitrária de código quando o JVM remoto desserializa.
References
[1] Spring Boot Reference Guide Spring
[2] Standards Mapping - General Data Protection Regulation (GDPR) Indirect Access to Sensitive Data
[3] Standards Mapping - OWASP API 2023 API8 Security Misconfiguration
[4] Standards Mapping - OWASP Mobile 2014 M1 Weak Server Side Controls
[5] Standards Mapping - OWASP Top 10 2010 A6 Security Misconfiguration
[6] Standards Mapping - OWASP Top 10 2013 A5 Security Misconfiguration
[7] Standards Mapping - OWASP Top 10 2017 A6 Security Misconfiguration
[8] Standards Mapping - OWASP Top 10 2021 A05 Security Misconfiguration
[9] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0 Requirement 7.3.1
[10] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0.1 Requirement 7.3.1
[11] Standards Mapping - Web Application Security Consortium Version 2.00 Application Misconfiguration (WASC-15)
desc.config.java.spring_boot_misconfiguration_admin_mbean_enabled