Apache FreeMarker template loading mechanism vulnerable to path traversal
Beschreibung
Path-Traversal-Schwachstelle im Apache FreeMarker-Vorlagenlademechanismus, wenn der Angreifer eine willkürliche fehlerhafte Lokalkennung für FreeMarker angeben kann und die lokalisierte Lookup-Konfigurationseinstellung aktiviert ist (standardmäßig aktiviert). Dieses Problem betrifft Apache FreeMarker von 2.2.0 bis 2.3.34. Benutzern wird empfohlen, auf Version 2.3.35 zu aktualisieren. Das Deaktivieren des lokalisierten Lookups in früheren Versionen mindert dies ebenfalls. Beachten Sie, dass selbst in Versionen, die von dieser Sicherheitsanfälligkeit betroffen sind, die Dateien, die geladen werden können, durch den TemplateLoader eingeschränkt bleiben, für den FreeMarker konfiguriert ist. Insbesondere verhindert FileTemplateLoader Versuche, außerhalb des in seinem Konstruktor angegebenen baseDir zu reisen. Andere TemplateLoader-Implementierungen ermöglichen möglicherweise den Zugriff außerhalb des festgelegten Basisverzeichnisses, sind jedoch immer noch durch den zugrunde liegenden Speichermechanismus eingeschränkt - beispielsweise kann ein Loader, der einen Java-Klassenlader umhüllt, nur auf Ressourcen zugreifen, die der Klassenlader laden kann, während ein Umwickeln eines Webanwendungskontexts nur auf Ressourcen zugreifen kann, die über diesen Kontext verfügbar sind.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 2.3.35.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation org.freemarker:freemarker.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.