Joakim Erdfelt

Nome do Software Vulnerável e Versões Afetadas: Aplicações Spring Framework MVC (versões afetadas não especificadas) Descrição: Aplicações Spring Framework MVC podem estar vulneráveis a uma "Vulnerabilidade de Path Traversal" quando implantadas em um container Servlet não conforme. Este problema ocorre quando a aplicação é implantada como um WAR ou com um container Servlet incorporado, o container Servlet não rejeita sequências suspeitas e a aplicação serve recursos estáticos utilizando o gerenciamento de recursos do Spring. Aplicações implantadas no Apache Tomcat ou Eclipse Jetty não são vulneráveis, desde que as funcionalidades de segurança padrão não estejam desabilitadas. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Jetty (versões afetadas não especificadas) **Descrição** O PushSessionCacheFilter do Jetty pode ser explorado por usuários não autenticados para lançar ataques remotos de Negação de Serviço (DoS), esgotando a memória do servidor. Essa vulnerabilidade permite que invasores ataquem remotamente o servidor, podendo causar a falta de memória no sistema. **Recomendações** Para resolver o problema, considere as seguintes soluções alternativas: * Evite usar o PushCacheFilter, pois o Push foi descontinuado pelas diversas especificações da IETF e respostas de hints antecipadas devem ser usadas em seu lugar. * Reduza o tempo de espera de inatividade em sessões não autenticadas para diminuir o tempo que essas sessões permanecem na memória. * Configure um cache de sessão para usar a passivação de sessão, de modo que as sessões não sejam armazenadas na memória, mas sim em um banco de dados ou sistema de arquivos que possa ter capacidade significativamente maior do que a memória. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.