SpringbootActuator未授权访问漏洞

Spring Boot Actuator 是 Spring Boot 应用监控和管理的工具，它提供了多个端点（endpoints），如健康检查、度量收集、环境信息等。在其默认配置下，这些端点可以公开访问，没有进行身份验证，这可能导致敏感信息泄露。

未授权访问漏洞指的是攻击者可以未经身份验证访问这些管理端点，获取敏感信息。

解决方法：

1. 启用基本认证：通过配置application.properties或application.yml文件，开启Actuator的安全验证。

# application.properties
management.endpoints.web.exposure.include=health,info
management.endpoints.web.base-path=/actuator
management.endpoints.web.exposure.include=health,info
management.endpoint.health.show-details=always
management.endpoints.web.cors.allowed-origins=*
management.security.enabled=true
management.security.roles=ACTUATOR

# application.yml
management:
  endpoints:
    web:
      exposure:
        include: health,info
  endpoint:
    health:
      show-details: always
  security:
    roles: ACTUATOR
    enabled: true

2. 使用更加严格的权限控制，例如Spring Security。

import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
 
public class ActuatorSecurity extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .requestMatchers()
                .antMatchers("/actuator/**")
            .and()
            .authorizeRequests()
                .anyRequest().hasRole("ACTUATOR_ACCESS")
            .and()
            .httpBasic();
    }
}

3. 使用更加安全的通信协议，如HTTPS。
4. 定期更新Spring Boot Actuator到最新版本，以获取安全补丁。

在实施安全措施时，请确保不会影响到正常的运营和管理需求。