The base directory (`spring.cloud.config.server.git.basedir`) used by the Spring Cloud Config Server to clone Git repositories to is susceptible to time-of-check-time-of-use (TOCTOU) attacks.
Spring Cloud Config 3.1.x: affected from 3.1.0 through 3.1.13 (inclusive); upgrade to 3.1.14 or greater (Enterprise Support Only). Spring Cloud Config 4.1.x: affected from 4.1.0 through 4.1.9 (inclusive); upgrade to 4.1.10 or greater (Enterprise Support Only). Spring Cloud Config 4.2.x: affected from 4.2.0 through 4.2.6 (inclusive); upgrade to 4.2.7 or greater (Enterprise Support Only). Spring Cloud Config 4.3.x: affected from 4.3.0 through 4.3.2 (inclusive); upgrade to 4.3.3 or greater. Spring Cloud Config 5.0.x: affected from 5.0.0 through 5.0.2 (inclusive); upgrade to 5.0.3 or greater.
Spring Cloud Config Server contains a time-of-check-time-of-use (TOCTOU) vulnerability in the base directory used for cloning Git repositories, allowing potential unauthorized access or manipulation. Multiple versions across 3.1.x through 5.0.x branches are affected and require immediate patching.
ثغرة TOCTOU في Spring Cloud Config Server تؤثر على المجلد الأساسي المستخدم لاستنساخ مستودعات Git، مما قد يسمح للمهاجمين بالتلاعب بملفات التكوين أثناء نافذة زمنية حرجة. تؤثر الثغرة على إصدارات متعددة من الإصدار 3.1.0 إلى 5.0.2.
خادم Spring Cloud Config يحتوي على ثغرة TOCTOU في المجلد الأساسي المستخدم لاستنساخ مستودعات Git، مما يسمح بالوصول غير المصرح به أو التلاعب. تتأثر إصدارات متعددة عبر الفروع 3.1.x حتى 5.0.x وتتطلب تصحيحًا فوريًا.
Immediately upgrade Spring Cloud Config to patched versions: 3.1.14+, 4.1.10+, 4.2.7+, 4.3.3+, or 5.0.3+. For versions 3.1.x through 4.2.x, contact Enterprise Support for patches. Implement strict file system permissions on the base directory, disable unnecessary Git operations, and monitor configuration server logs for suspicious activities.
قم بالترقية الفورية إلى إصدارات مصححة: 3.1.14+ أو 4.1.10+ أو 4.2.7+ أو 4.3.3+ أو 5.0.3+. للإصدارات 3.1.x حتى 4.2.x، تواصل مع دعم Enterprise للحصول على التصحيحات. طبق أذونات نظام ملفات صارمة على المجلد الأساسي، وعطل عمليات Git غير الضرورية، ومراقبة سجلات خادم التكوين للأنشطة المريبة.