Il punto debole non è l’endpoint amministrativo in sé. È il fatto che un heapdump può contenere in chiaro le credenziali vive dell’applicazione, così un accesso successivo alla console non basta più a chiudere l’incidente: i segreti già usciti possono ancora aprire database e API.
SANS ha osservato scansioni verso /admin-api/actuator/heapdump su Spring Boot Actuator. Le richieste usavano credenziali di default, e il file heapdump.hprof può includere API keys, password di database e altri segreti usati dal servizio per parlare con i backend.
Per chi espone actuator o altri endpoint di gestione sul web, la superficie reale è questa: un export diagnostico diventa una sorgente di esfiltrazione di segreti. Se quel file è stato scaricato, la messa in sicurezza dell’URL non cancella ciò che è già stato letto.