一、 漏洞 CVE-2025-41242 基础信息
漏洞信息
                                        # 非合规Servlet容器路径遍历漏洞

## 概述

Spring Framework MVC 应用程序在某些特定条件下，可能存在一个“路径遍历漏洞（Path Traversal Vulnerability）”。

## 影响条件

满足以下**所有条件**的 Spring 应用程序可能受影响：

- 部署为 WAR 包，或使用嵌入式 Servlet 容器；
- 所用的 Servlet 容器 **未拒绝可疑路径序列**（如 `..%2F`）；
- 应用程序通过 Spring 的资源处理机制来**提供静态资源**服务（如 `/static`, `/public` 路径下的文件）。

## 漏洞细节

漏洞核心在于，若 Servlet 容器未正确规范化 URI 路径（拒绝非法路径遍历字符），攻击者可能通过构造恶意路径访问应用根目录之外的文件。

Spring 资源处理机制默认依赖 Servlet 容器的行为，若容器不符合 [Jakarta Servlet 6.1 规范](https://jakarta.ee/specifications/servlet/6.1/jakarta-servlet-spec-6.1.html#uri-path-canonicalization) 对路径的规范化要求，可能导致路径穿越攻击成功。

## 影响

- 攻击者可能读取服务器上的任意可访问文件；
- 风险等级取决于应用所处环境以及是否使用合规的容器配置。

## 推荐措施

- 升级 Spring Framework 至最新版本；
- 使用默认安全配置的兼容容器（如 Tomcat 或 Jetty）；
- 明确配置容器拒绝路径穿越字符；
- 不建议自行验证全部容器配置变体的兼容性。

> ✅ **注意**：Spring 官方未提供补丁版本信息，此为通用安全建议。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
CVE-2025-41242: Path traversal vulnerability on non-compliant Servlet containers
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Spring Framework MVC applications can be vulnerable to a “Path Traversal Vulnerability” when deployed on a non-compliant Servlet container. An application can be vulnerable when all the following are true: * the application is deployed as a WAR or with an embedded Servlet container * the Servlet container does not reject suspicious sequences https://jakarta.ee/specifications/servlet/6.1/jakarta-servlet-spec-6.1.html#uri-path-canonicalization * the application serves static resources https://docs.spring.io/spring-framework/reference/web/webmvc/mvc-config/static-resources.html#page-title  with Spring resource handling We have verified that applications deployed on Apache Tomcat or Eclipse Jetty are not vulnerable, as long as default security features are not disabled in the configuration. Because we cannot check exploits against all Servlet containers and configuration variants, we strongly recommend upgrading your application.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
VMware Spring Framework 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
VMware Spring Framework是美国威睿（VMware）公司的一套开源的Java、JavaEE应用程序框架。该框架可帮助开发人员构建高质量的应用。 VMware Spring Framework存在安全漏洞，该漏洞源于非合规Servlet容器上的路径遍历漏洞，可能导致未授权访问。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-41242 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-41242 的情报信息
四、漏洞 CVE-2025-41242 的评论

暂无评论

发表评论