Sicurezza applicativa · Configurazione errata

Heapdump Spring Boot che espone segreti backend

Il punto debole non è l’endpoint amministrativo in sé. È il fatto che un heapdump può contenere in chiaro le credenziali vive dell’applicazione, così un accesso successivo alla console non basta più a chiudere l’incidente: i segreti già usciti possono ancora aprire database e API.

SANS ha osservato scansioni verso /admin-api/actuator/heapdump su Spring Boot Actuator. Le richieste usavano credenziali di default, e il file heapdump.hprof può includere API keys, password di database e altri segreti usati dal servizio per parlare con i backend.

Per chi espone actuator o altri endpoint di gestione sul web, la superficie reale è questa: un export diagnostico diventa una sorgente di esfiltrazione di segreti. Se quel file è stato scaricato, la messa in sicurezza dell’URL non cancella ciò che è già stato letto.

1 fonte · 27 lug

Cronologia

Fonti

Part of the PlainSec briefing for 2026-07-27

Every edition of this story: Heapdump Spring Boot che espone segreti backend

Altro da oggi