奇安信攻防社区-CVE-2026-22731 Spring Boot Actuator 身份认证绕过漏洞浅析

CVE-2026-22731 Spring Boot Actuator 身份认证绕过漏洞浅析

Spring Boot 是一个广泛使用的 Java 应用开发框架，Actuator 模块用于监控和管理应用运行状态。CVE-2026-2273源于 Actuator 健康组（Health Groups）的“附加路径”映射逻辑存在缺陷。当开发者通过 `additional-path` 配置了健康组的自定义访问路径，且在该路径下又定义了其他需要认证的应用端点时，安全拦截器可能无法正确应用认证逻辑。攻击者利用此配置冲突，可以绕过身份验证机制，未经授权访问原本受保护的敏感管理或业务端点。

0x00 CVE-2026-22731
===================

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-709d800fc049c4fa3aba97aa45d14fadefa73aeb.png)

**主要影响范围：**

Spring Boot:

- 4.0.0 - 4.0.3
- 3.5.0 - 3.5.11
- 3.4.0 - 3.4.14

0x01 additional-path
====================

`additional-path` 是 **Spring Boot Actuator** 提供的一个配置项，它的作用是**为某个 Actuator 端点额外暴露一个访问路径，而不是替换原有路径。**

一般，默认情况下，Actuator 的健康检查地址通常是：

```Plain
/actuator/health
```

但很多基础设施（如 Kubernetes、云平台负载均衡器、Ingress 等）希望健康检查接口位于应用根路径，例如：

- **/livez**
    
    
    - 使用此端点来确定是否需要重启 API 服务器。 如果 /livez 返回失败状态码（例如 500），则表示 API 服务器可能处于不可恢复的状态， 例如死锁，需要重启。
- **/readyz**
    
    
    - 使用此端点来确定 API 服务器是否已准备好接受流量。 如果 `/readyz` 返回失败状态码，则表示服务器仍在初始化或暂时无法处理请求 （例如，正在等待 etcd 可用），此时应将流量路由到其他服务器。

如果直接修改`management.endpoints.web.base-path`会影响所有 Actuator 端点，因此 Spring Boot 引入了 **additional-path**属性，允许**只为 Health Endpoint 增加一个入口**。

例如下面的例子,只需要在appliction.yml里进行如下的配置即可：

```YAML
management:
  endpoint:
    health:
      group:
        custom:
          additional-path:
            server:/healthz
```

当应用启动后：

- `/actuator/health` 依旧可访问
- `/healthz` 是新增的一条访问路径

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-a03420f1252a45736bc944fa469801e9cae5dcba.png)

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-6ff836cc3d1cd46ed6044de78a975162e2a17148.png)

0x02 漏洞分析与复现
============

2.1 分析过程
--------

根据Spring的漏洞描述，对于类似下面的配置，预期情况应该是仅 `/healthz`路由匿名放行，实际 上`/healthz/**`都会全部免认证访问：

```YAML
management:
  endpoint:
    health:
      group:
        custom:
          additional-path:
            server:/healthz
```

以3.5.0版本为例，在actuator中，自动配置类 `ManagementWebSecurityAutoConfiguration` 会生成专属 Actuator 安全过滤器链，无自定义 `SecurityFilterChain` 时会自动生效，核心规则这里定义了具体的放行规则。

从具体的代码可以看到，`permitAll()` 是放行规则，主要涉及Health endpoint以及拓展端点，而`EndpointRequest.to(HealthEndpoint.class)` 只是路径匹配器工厂，负责收集所有属于健康检查的 URL；

```Java
@Bean
@Order(2147483642)
SecurityFilterChain managementSecurityFilterChain(Environment environment, HttpSecurity http) throws Exception {
    http.authorizeHttpRequests((requests) -> {
        ((AuthorizeHttpRequestsConfigurer.AuthorizedUrl)requests.requestMatchers(new RequestMatcher[]{this.healthMatcher(), this.additionalHealthPathsMatcher()})).permitAll();
        ((AuthorizeHttpRequestsConfigurer.AuthorizedUrl)requests.anyRequest()).authenticated();
    });
    if (ClassUtils.isPresent("org.springframework.web.servlet.DispatcherServlet", (ClassLoader)null)) {
        http.cors(Customizer.withDefaults());
    }

http.formLogin(Customizer.withDefaults());
    http.httpBasic(Customizer.withDefaults());
    return (SecurityFilterChain)http.build();
}

private RequestMatcher healthMatcher() {
    return EndpointRequest.to(new Class[]{HealthEndpoint.class});
}

private RequestMatcher additionalHealthPathsMatcher() {
    return EndpointRequest.toAdditionalPaths(WebServerNamespace.SERVER, new Class[]{HealthEndpoint.class});
}
```

`EndpointRequest.to(HealthEndpoint.class)` 返回 `EndpointMatcher` 内部类实例；`EndpointMatcher` 自身不实现匹配逻辑，构造时调用 `createDelegate()` 方法，生成一组 `RequestMatcher` 复合匹配器（`OrRequestMatcher`）。

当请求到达时，委托 `delegate` 判断当前 URL 是否属于健康端点。

查看`EndpointRequest`的具体实现（mvc的话关注org.springframework.boot.actuate.autoconfigure.security.servlet.EndpointRequest即可），以AdditionalPathsEndpointRequestMatcher为例，其createDelegate方法如下：

```TypeScript
protected RequestMatcher createDelegate(WebApplicationContext context, RequestMatcherFactory requestMatcherFactory) {
    PathMappedEndpoints endpoints = (PathMappedEndpoints)context.getBean(PathMappedEndpoints.class);
    RequestMatcherProvider matcherProvider = this.getRequestMatcherProvider(context);
    Set<String> paths = (Set)this.endpoints.stream().filter(Objects::nonNull).map(this::getEndpointId).flatMap((endpointId) -> this.streamAdditionalPaths(endpoints, endpointId)).collect(Collectors.toCollection(LinkedHashSet::new));
    List<RequestMatcher> delegateMatchers = this.getDelegateMatchers(requestMatcherFactory, matcherProvider, paths, this.httpMethod);
    return (RequestMatcher)(!CollectionUtils.isEmpty(delegateMatchers) ? new OrRequestMatcher(delegateMatchers) : EndpointRequest.EMPTY_MATCHER);
}
```

这里会调用getDelegateMatchers进行处理，这里会通过硬编码拼接 `/**` 实现前缀匹配：

```TypeScript
protected final List<RequestMatcher> getDelegateMatchers(RequestMatcherFactory requestMatcherFactory, RequestMatcherProvider matcherProvider, Set<String> paths, HttpMethod httpMethod) {
    return (List)paths.stream().map((path) -> requestMatcherFactory.antPath(matcherProvider, httpMethod, path, "/**")).collect(Collectors.toCollection(ArrayList::new));
}
```

下面是具体的调试信息：

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-8668aa0fef603c318a8e92f7394c0cd397be9c83.png)

也就是说，只要是以/healthz开头的路径都会被匹配，从而触发 `.permitAll()` 匿名放行，导致绕过风险。

2.2 漏洞复现
--------

以org.springframework.boot:spring-boot:3.5.0为例：

首先配置appliction.yml，为 Health Endpoint增加一个新的入口/healthz，然后通过springsecurity简单进行登录保护：

```YAML
server:
  port: 8088
# actuator是否需要安全保证配置
management:
  endpoint:
    health:
      group:
        custom:
          additional-path:
            server:/healthz

# actuator登录认证配置
spring:
  security:
    user:
      name: admin
      password: admin
```

定义两个Controller，用于区分：

```Java
@RequestMapping
@RestController
public class IndexController {

@RequestMapping("index")
    public ResponseEntity<Map> index() {
        Map<String, String> map = new HashMap<>(1);
        map.put("hello", "world");
        return ResponseEntity.ok(map);
    }
}
```

```TypeScript
@RestController
@RequestMapping("/healthz")
public class TestController {

// 本应需要认证才能访问的接口
    @GetMapping("/admin/info")
    public String adminInfo() {
        return "sensitive admin data";
    }
}
```

按照之前的的分析，/index应该是因为收到保护，所以非登陆情况下无法访问，而/healthz/admin/info接口由于设计缺陷的问题，可未授权访问，下面是具体的效果：

可以看到/index接口由于被保护，非登陆情况下访问直接跳转到默认的登录界面了：

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-7fc4fca20604e8e6db08fe55f30469d8b4913d97.png)

而/healthz/admin/info直接被认为是Health Endpoint，直接可访问了，存在绕过风险：

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-f9655abf968b4b93072b1832cc968c7190e8437a.png)

2.3 利用条件
--------

综上所述，可以总结出来CVE-2026-22731的利用条件如下：

1. 项目 classpath 中引入了 Spring Boot Actuator 依赖
2. 配置了自定义健康检查组（通过 `management.endpoint.health.group.<名称>.include` 指定）
3. 该健康组配置了 `server:` 前缀的额外暴露路径（`additional-path=server:/xxx`）
4. 应用自身在该额外路径的子路径下，部署了需要身份认证的业务接口（例如 `/healthz/admin`、`/healthz/api/user`等）

0x03 修复方案
=========

<https://github.com/spring-projects/spring-boot/compare/v3.5.11...v3.5.12> 通过diff可以看到具体的修复措施，直接删除拼接`/**`的方式，使用原始路径生成精确的路径匹配器：

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-82800363abcd7bc4bee0cece81a9d3e708b5eaac.png)

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-b77086145667e5072404fd306873d743bcc3c4fe.png)

同样是上面的demo，修复后已无法在非登陆情况下进行访问：

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-99be77bbe89d797f5cec6fd133bc625df5709a1b.png)

发表于 2026-08-04 17:56:59
阅读 ( 51 )
分类：漏洞分析

CVE-2026-22731 Spring Boot Actuator 身份认证绕过漏洞浅析

0 条评论