CVE-2016-9879

Se descubrió un problema en Pivotal Spring Security en versiones anteriores a 3.2.10, 4.1.x en versiones anteriores a 4.1.4 y 4.2.x en versiones anteriores a 4.2.1. Spring Security no considera parámetros de ruta URL cuando procesa restricciones de seguridad. Añadiendo un parámetro de ruta URL con con un "/" codificado a una petición, un atacante podría ser capaz de eludir una restricción de seguridad. La causa principal de este problema es la falta de claridad en lo que se refiere al manejo de los parámetros de ruta en las Servlet Specification. Algunos contenedores Servlet incluyen parámetros de ruta en el valor devuelto para getPathInfo() y otros no. Spring Security utiliza el valor devuelto por getPathInfo() como parte del proceso de mapeo de peticiones a las restricciones de seguridad. La presencia inesperada de parámetros de ruta puede provocar que una restricción sea eludida. Los usuarios de Apache Tomcat (todas las versiones actuales) no están afectados por esta vulnerabilidad ya que Tomcat sigue la guía proporcionada previamente por el grupo Servlet Expert y elimina los parámetros de ruta del valor devuelto por getContextPath(), getServletPath() y getPathInfo(). Usuarios de otros contenedores Servlet basados en Apache Tomcat podrían o no estar afectados dependiendo en si el manejo de los parámetros ha sido modificado. Se sabe que los Usuarios de IBM WebSphere Application Server 8.5.x están afectados. Usuarios de otros contenedores que implementan la especificación Servlet podrían estar afectados.

It was found that Spring Security does not consider URL path parameters when processing security constraints. By adding a URL path parameter with an encoded / to a request an attacker may be able to bypass a security constraint.