Spring Boot Actuator 未授权访问漏洞

合集 - 漏扫合集(7)

1.Nginx:CVE-2021-23017;CVE-2022-417422023-06-012.NGINX版本信息泄露2023-06-013.Swagger API 未授权访问漏洞2023-06-014.Nginx 平滑升级2023-06-02

5.Spring Boot Actuator 未授权访问漏洞2023-06-03

6.JQuery-XSS漏洞（CVE-2020-11022/CVE-2020-11023）2023-06-077.缓慢的http拒绝服务攻击2023-08-07

收起

Spring Boot Actuator 未授权访问漏洞

详细描述

Actuator是Spring Boot提供的服务监控和管理中间件，默认配置会出现接口未授权访问，部分接口会泄露网站流量信息和内存信息等，使用Jolokia库特性甚至可以远程执行任意代码，获取服务器权限。

修复建议

1.配置认证
在项目的pom.xml文件下引入spring-boot-starter-security依赖

<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>

然后在application.properties中开启security功能，配置访问账号密码，重启应用即可弹出。

management.security.enabled=true
security.user.name=admin
security.user.password=admin

2.禁用接口
禁用全部接口：

endpoints.enabled = false

禁用部分接口，如env:

endpoints.env.enabled = false

management.endpoints.web.exposure.exclude=env,heapdump,threaddump,mappings

# 完全禁用actuator
management.server.port=-1