CVE-2021-21234

spring-boot-actuator-logview, basit bir günlük dosyası görüntüleyiciyi spring boot actuator uç noktası olarak ekleyen bir kütüphanedir. Maven paketi "eu.hinsch:spring-boot-actuator-logview" şeklindedir. spring-boot-actuator-logview'un 0.2.13 sürümünden önceki versiyonlarında bir dizin gezginliği (directory traversal) zafiyeti bulunmaktadır. Bu kütüphanenin amacı, yönetici (spring boot actuator) HTTP uç noktaları aracılığıyla bir günlük dosyası dizinini dışarı açmaktır. Görüntülenecek dosya adı ve temel klasör (günlükleme klasör köküne göre göreceli), istek parametreleri üzerinden belirtilebilir. Dosya adı parametresi, dizin gezginliği saldırılarını önlemek için kontrol edilirken (`filename=../somefile` çalışmayacak şekilde), temel klasör parametresi yeterince kontrol edilmemiştir; bu durum `filename=somefile&base=../` kullanımıyla günlükleme temel dizininin dışındaki bir dosyaya erişilmesine olanak tanımaktadır. Zafiyet, 0.2.13 sürümüyle giderilmiştir. 0.2.12 kullanıcıları, bu sürümde başka herhangi bir değişiklik olmadığı için sorunsuz bir şekilde güncelleme yapabilirler. Bağımlılığı güncellemek veya kaldırmak dışında zafiyeti gidermek için bir geçici çözüm bulunmamaktadır. Ancak, uygulamanın çalıştığı kullanıcının uygulama çalışması için gerekli olmayan hiçbir dizine okuma erişiminin olmaması etkiyi sınırlayabilir. Ek olarak, uygulamayı bir ters proxy arkasında konuşlandırarak logview uç noktasına erişim sınırlandırılabilir.