Spring Framework 的 functional web frameworks (WebMvc.fn 和 WebFlux.fn) 中存在路径遍历漏洞，主要涉及 CVE-2024-38816 和 CVE-2024-38819。以下是关键信息总结：
漏洞详情
漏洞类型：路径遍历漏洞，允许攻击者通过构造恶意 HTTP 请求访问服务器文件系统中的任意文件，可能导致敏感数据泄露。
触发条件：
使用 WebMvc.fn 或 WebFlux.fn 提供静态资源。
应用程序配置为使用 FileSystemResource 或类似方式从文件系统提供静态文件。
防护措施：
使用 Spring Security HTTP 防火墙。
应用程序部署在 Tomcat 或 Jetty 上（默认会拦截恶意请求）。
影响版本
CVE-2024-38816：
Spring Framework 5.3.0 - 5.3.39
Spring Framework 6.0.0 - 6.0.23
Spring Framework 6.1.0 - 6.1.12。
CVE-2024-38819：
Spring Framework 5.3.0 - 5.3.40
Spring Framework 6.0.0 - 6.0.24
Spring Framework 6.1.0 - 6.1.13。
修复方案
升级版本：
CVE-2024-38816：
升级至 Spring Framework 5.3.40（企业支持版本）、6.0.24（企业支持版本）或 6.1.13+。
CVE-2024-38819：
升级至 Spring Framework 5.3.41、6.0.25 或 6.1.14+。
其他缓解措施：
启用 Spring Security HTTP 防火墙。
避免直接使用 FileSystemResource 提供静态资源。
漏洞区别
CVE-2024-38816：2024 年 9 月披露，影响更早版本。
CVE-2024-38819：2024 年 10 月披露，修复了更广泛的路径处理问题。
Doris版本 2.1.8
涉及依赖包路径：/data/doris/fe/lib/spring-core-5.3.39.jar
