Spring Boot アクチュエータ HikariCP のリモートコード実行

critical Web App Scanning プラグイン ID 113198

Language:

概要

説明

Spring Boot フレームワークは、最も人気のある Java ベースのマイクロサービスフレームワークの 1 つであり、開発者が Java アプリケーションを素早く簡単に展開できるようにします。env および restart メソッドでエンドポイントのアクチュエータにアクセスできる場合、認証されていないリモートの攻撃者が、デフォルトの HikariCP データベース接続プールおよび H2 データベースエンジンなどの一般的な Java 開発データベースを介してリモートコード実行を取得する可能性があります。

ソリューション

アクチュエータエンドポイントが必要ない場合は、「management.security.enabled: true」により無効にするか、「management.endpoints.web.exposure.include」で必要なエンドポイントのみを指定します。アクチュエータが必要な場合は、Spring Security を使用して保護する必要があります。