CVE-2026-41843 : traversée de répertoire dans la résolution des ressources statiques versionnées du spring framework
SCORE DE MENACE HERMES & EXPOSITION OPÉRATIONNELLE
Cible :Gestion des ressources statiques (Spring MVC & WebFlux) — Spring Framework Hermes attribue une note de 76 (MOYENNE). Les applications délivrant des ressources statiques depuis le système de fichiers avec gestion de versions activée (ex. hachage de contenu) omettent de normaliser les chemins après suppression du préfixe de version, permettant aux attaquants connaissant les métadonnées de sortir de la racine web pour lire des fichiers sensibles.
POSTURE DE SÉVÉRITÉ AGENTIQUE & IMPACT INFRASTRUCTURE HASS
Cible :Microservices Spring Boot, applications web cloud-native & passerelles statiques Les applications Java d'entreprise, les grappes de microservices et les pipelines CI/CD reposent sur une stricte étanchéité de la mémoire et des privilèges. Les failles dans des composants fondamentaux comme Gestion des ressources statiques (Spring MVC & WebFlux) permettent à des acteurs hostiles de briser l'isolation et de compromettre des actifs hautement stratégiques.
CVE-2026-41843: Path Traversal in Spring Framework Versioned Static Resource ResolutionVULNÉRABILITÉ
Software platform affected by security vulnerabilities and agentic attack patterns.
🔍 Pourquoi cette relation ? (Preuves & Provenance)
“Confirmed security vulnerability in Spring Framework documented in Hermes dossier.”
- [vulnerability_report]
- [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)
1. Contexte technique & matrice des logiciels affectés
Section intitulée « 1. Contexte technique & matrice des logiciels affectés »La vulnérabilité CVE-2026-41843 réside au cœur du sous-système Gestion des ressources statiques (Spring MVC & WebFlux) de Spring Framework.
+-----------------------------------------------------------------------------------------+| ÉCOSYSTÈME RUNTIME JAVA || || +---------------------------------------------------------------------------------+ || | COUCHE APPLICATIVE & MICROSERVICES | || | Spring Boot / Quarkus / Micronaut / Applications Web / Services JVM Métier | || +---------------------------------------+-----------------------------------------+ || | || v || +---------------------------------------------------------------------------------+ || | SOUS-SYSTÈME AFFECTÉ : Gestion des ressources statiques (Spring MVC & WebFlux) | || | Défaut sous-jacent : Limitation incorrecte d'un chemin d'accès à un répertoire restreint ('Traversée de répertoire') | || +---------------------------------------+-----------------------------------------+ || | || v || +---------------------------------------------------------------------------------+ || | SYSTÈME D'EXPLOITATION & CONTENEURS | || | Linux / Windows / Docker / Pods Kubernetes & Bibliothèques Natives | || +---------------------------------------------------------------------------------+ |+-----------------------------------------------------------------------------------------+Matrice d’applicabilité technique
Section intitulée « Matrice d’applicabilité technique »| Dimension | Spécification technique |
|---|---|
| Identifiant canonique | CVE-2026-41843 |
| Composant affecté | Gestion des ressources statiques (Spring MVC & WebFlux) |
| Classification CWE | CWE-22 (Limitation incorrecte d’un chemin d’accès à un répertoire restreint (‘Traversée de répertoire’)) |
| Score CVSS v3.1 | 5.9 (MEDIUM) — CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N |
| Vecteur & surface d’attaque | AV:N (Non authentifié, Périmètre inchangé (S:U)) |
| Impact sur l’intégrité | Aucun |
| Impact sur la confidentialité | Élevé (Divulgation totale de mémoire / données) |
| Impact sur la disponibilité | Aucun |
| Versions vulnérables | Spring Framework versions 7.0.0 à 7.0.7, 6.2.0 à 6.2.18, 6.1.0 à 6.1.27, 5.3.0 à 5.3.48 |
| Version saine recommandée | 7.0.8, 6.2.19, 6.1.28, 5.3.49 |
2. Analyse de la cause racine & scénario d’attaque
Section intitulée « 2. Analyse de la cause racine & scénario d’attaque »Anatomie de la vulnérabilité
Section intitulée « Anatomie de la vulnérabilité »La vulnérabilité CVE-2026-41843 procède d’un défaut de type limitation incorrecte d’un chemin d’accès à un répertoire restreint (‘traversée de répertoire’) dans la logique interne de Gestion des ressources statiques (Spring MVC & WebFlux).
Lorsqu’une charge hostile parvient à ce composant, l’absence de vérification rigoureuse des limites ou l’erreur logique conduit à un état critique non contrôlé, comme illustré dans le diagramme de séquence ci-dessous :
sequenceDiagram autonumber actor Attacker as Attaquant / Client distant participant Service as Hôte Java / Passerelle participant Component as Sous-système (Gestion des ressources statiques (Spring MVC & WebFlux)) participant Target as Mémoire JVM / Système d'exploitation
Attacker->>Service: Envoi de la charge hostile (Traversée de répertoire & divulgation arbitraire de fichiers) Service->>Component: Transmission à la chaîne de traitement activate Component Note over Component: CWE-22: Échec de validation / anomalie logique Component->>Target: Déclenchement de l'état critique (Confiné au processus JVM et au bac à sable conteneur) deactivate Component Target-->>Attacker: Effet opérationnel obtenu (Traversée de répertoire & divulgation arbitraire de fichiers)3. Détection opérationnelle & règles de surveillance
Section intitulée « 3. Détection opérationnelle & règles de surveillance »Déployez les artefacts de détection suivants pour identifier les comportements suspects et tentatives d’exploitation ciblant CVE-2026-41843.
Règle Sigma (surveillance des processus)
Section intitulée « Règle Sigma (surveillance des processus) »title: Activité suspecte liée à CVE-2026-41843 (Gestion des ressources statiques (Spring MVC & WebFlux))id: cve-2026-41843-sigma-detection-frstatus: experimentaldescription: Détecte les anomalies d'exécution et les schémas d'attaque correspondant à l'exploitation de CVE-2026-41843.references: - https://nvd.nist.gov/vuln/detail/CVE-2026-41843 - https://hermes-codex.dev/fr/cve/2026/cve-2026-41843/author: Hermes Codex Cyber Threat Intelligencedate: 2026-09-15logsource: category: process_creation product: linuxdetection: selection_parent: ParentImage|endswith: - '/java' selection_child: Image|endswith: - '/java' condition: selection_parent and selection_childfields: - CommandLine - Image - ParentCommandLinefalsepositives: - Opérations légitimes de maintenance - Déploiements automatisés validéslevel: hightags: - attack.execution - attack.initial_access - cve.cve-2026-41843Signature réseau Suricata / Snort
Section intitulée « Signature réseau Suricata / Snort »alert tcp any any -> $HOME_NET any (msg:"HERMES-CODEX - Tentative d'exploitation potentielle de CVE-2026-41843 (Gestion des ressources statiques (Spring MVC & WebFlux))"; flow:to_server,established; content:"|00|"; threshold:type limit, track by_src, count 5, seconds 60; classtype:attempted-admin; sid:2026418432; rev:1; metadata:cve CVE-2026-41843, hermes_threat_score 76;)Règle YARA (recherche en mémoire & artefacts)
Section intitulée « Règle YARA (recherche en mémoire & artefacts) »rule Hermes_CVE_2026_41843_Artifact_FR { meta: description = "Détecte les motifs en mémoire et chaînes d'exploitation associés à CVE-2026-41843" author = "Hermes Codex Research" cve = "CVE-2026-41843" severity = "MEDIUM" date = "2026-09-15" strings: $fp1 = "Gestion des ressources statiques (Spring MVC & WebFlux)" ascii wide $fp2 = "CWE-22" ascii wide $magic = "CVE-2026-41843" ascii wide condition: all of them}4. Stratégie de remédiation, correctifs & durcissement
Section intitulée « 4. Stratégie de remédiation, correctifs & durcissement »-
Application immédiate des correctifs éditeur : Mettez à jour vos déploiements de Spring Framework vers la version saine
7.0.8, 6.2.19, 6.1.28, 5.3.49ou supérieure sans délai. -
Cloisonnement réseau & filtrage amont : Veillez à ce que les clients externes ne puissent pas interagir directement avec des composants internes sensibles. Placez les services JVM derrière des mandataires inverses durcis ou un pare-feu applicatif (WAF).
-
Validation rigoureuse des configurations : Passez en revue les options de lancement JVM, les descripteurs de déploiement et les permissions du système de fichiers afin d’appliquer le principe du moindre privilège à chaque conteneur.