// For flags

CVE-2021-21234

Directory Traversal

Severity Score

7.7
*CVSS v3.1

Exploit Likelihood

*EPSS

Affected Versions

*CPE

Public Exploits

2
*Multiple Sources

Exploited in Wild

-
*KEV

Decision

-
*SSVC
Descriptions

spring-boot-actuator-logview in a library that adds a simple logfile viewer as spring boot actuator endpoint. It is maven package "eu.hinsch:spring-boot-actuator-logview". In spring-boot-actuator-logview before version 0.2.13 there is a directory traversal vulnerability. The nature of this library is to expose a log file directory via admin (spring boot actuator) HTTP endpoints. Both the filename to view and a base folder (relative to the logging folder root) can be specified via request parameters. While the filename parameter was checked to prevent directory traversal exploits (so that `filename=../somefile` would not work), the base folder parameter was not sufficiently checked, so that `filename=somefile&base=../` could access a file outside the logging base directory). The vulnerability has been patched in release 0.2.13. Any users of 0.2.12 should be able to update without any issues as there are no other changes in that release. There is no workaround to fix the vulnerability other than updating or removing the dependency. However, removing read access of the user the application is run with to any directory not required for running the application can limit the impact. Additionally, access to the logview endpoint can be limited by deploying the application behind a reverse proxy.

spring-boot-actuator-logview en una biblioteca que agrega un visualizador de archivo de registro simple como endpoint del actuador de arranque de resorte. Es el paquete maven "eu.hinsch: spring-boot-actuator-logview". En spring-boot-actuator-logview antes de la versión 0.2.13 se presenta una vulnerabilidad de salto de directorio. La naturaleza de esta biblioteca es exponer un directorio de archivos de registro por medio de los endpoints HTTP de administración (actuador de arranque de resorte). Tanto el nombre del archivo a visualizar como una carpeta base (relativa a la carpeta root de registro) se pueden especificar mediante parámetros de petición. Si bien el parámetro filename se verificó para impedir la explotación del salto de directorio (de modo que "filename=../somefile" no funcionaría), el parámetro base folder no se verificó lo suficiente, por lo que "filename=somefile&base=.." podría acceder a un archivo fuera del directorio base del registro). La vulnerabilidad se corrigió en la versión 0.2.13. Cualquier usuario de la versión 0.2.12 debería poder actualizar sin ningún problema, ya que no existen otros cambios en esa versión. No existe una solución alternativa para corregir la vulnerabilidad que no sea actualizar o eliminar la dependencia. Sin embargo, eliminar el acceso de lectura del usuario con el que se ejecuta la aplicación en cualquier directorio que no sea necesario para ejecutar la aplicación puede limitar el impacto. Además, el acceso al endpoint de Logview se puede limitar mediante la implementación de la aplicación detrás de un proxy inverso

*Credits: N/A
CVSS Scores
Attack Vector
Network
Attack Complexity
Low
Privileges Required
Low
User Interaction
None
Scope
Changed
Confidentiality
High
Integrity
None
Availability
None
Attack Vector
Network
Attack Complexity
Low
Authentication
Single
Confidentiality
Partial
Integrity
None
Availability
None
* Common Vulnerability Scoring System
SSVC
  • Decision:-
Exploitation
-
Automatable
-
Tech. Impact
-
* Organization's Worst-case Scenario
Timeline
  • 2020-12-22 CVE Reserved
  • 2021-01-05 CVE Published
  • 2021-06-08 First Exploit
  • 2024-08-03 CVE Updated
  • 2024-12-17 EPSS Updated
  • ---------- Exploited in Wild
  • ---------- KEV Due Date
CWE
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
CAPEC
Affected Vendors, Products, and Versions
Vendor Product Version Other Status
Vendor Product Version Other Status <-- --> Vendor Product Version Other Status
Spring-boot-actuator-logview Project
Search vendor "Spring-boot-actuator-logview Project"
Spring-boot-actuator-logview
Search vendor "Spring-boot-actuator-logview Project" for product "Spring-boot-actuator-logview"
<= 0.2.12
Search vendor "Spring-boot-actuator-logview Project" for product "Spring-boot-actuator-logview" and version " <= 0.2.12"
-
Affected