- Aktif istismar
- Yama var
- CWE-23
CVE-2020-5410
Spring Cloud Config Sunucusunda Dizin Geçişi (Directory Traversal) Açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2339 gün
- Kaydı açan
- pivotal
ÖzetTürkçe
Spring Cloud Config, 2.2.x sürümlerinin 2.2.3 öncesi, 2.1.x sürümlerinin 2.1.9 öncesi ve desteklenmeyen eski sürümleri, uygulamaların spring-cloud-config-server modülü aracılığıyla rastgele yapılandırma dosyalarını sunmasına izin verir. Kötü niyetli bir kullanıcı veya saldırgan, özel olarak hazırlanmış bir URL içeren bir istek göndererek dizin geçişi saldırısına yol açabilir.
Kaynaktaki açıklama (İngilizce)
Spring Cloud Config, versions 2.2.x prior to 2.2.3, versions 2.1.x prior to 2.1.9, and older unsupported versions allow applications to serve arbitrary configuration files through the spring-cloud-config-server module. A malicious user, or attacker, can send a request using a specially crafted URL that can lead to a directory traversal attack.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Spring by VMware Spring Cloud Config | ≥ 2.1, < 2.1.9 | 2.1.9 |
| ≥ 2.2, < 2.2.3 | 2.2.3 |
Kaynaklar3 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.