---

📖 جدول المحتويات

• نظرة عامة
• المكونات المتأثرة
• السبب الجذري التقني
• شروط الاستغلال
• التأثير
• الخطورة وCVSS
• التخفيف والتصحيح
• الجدول الزمني
• المقارنة مع Log4Shell
• ملخص

---

🔎 نظرة عامة

Spring4Shell هو الاسم الشائع لـ CVE-2022-22965، وهي ثغرة في آلية ربط البيانات في Spring قد تسمح للمهاجمين بتحقيق تنفيذ كود عن بُعد (RCE).

أثرت بشكل أساسي على التطبيقات التي تستخدم:

• :contentReference[oaicite:1]{index=1}
• معبأة كملف WAR
• منشورة على :contentReference[oaicite:2]{index=2}
• تعمل على :contentReference[oaicite:3]{index=3} 9 أو أحدث

---

🧠 السبب الجذري التقني

تقوم Spring MVC تلقائيًا بتعيين معاملات طلب HTTP إلى حقول كائنات Java — وهي عملية تسمى ربط البيانات.

في ظل ظروف معينة، يمكن للمهاجم:

1. التلاعب بخصائص الكائن من خلال معاملات HTTP مُحرفة
2. الوصول إلى خصائص محمل الفئات الداخلية
3. تعديل تكوين Tomcat
4. كتابة ملف JSP ضار (web shell) على القرص

وهذا يؤدي في النهاية إلى تنفيذ كود عشوائي على الخادم.

---

⚙️ شروط الاستغلال

لم تكن Spring4Shell قابلة للاستغلال عالميًا. كان يجب أن تتحقق جميع الشروط التالية:

• ✔ تشغيل Java 9+
• ✔ استخدام إصدارات Spring الثغرة (5.3.0–5.3.17 أو 5.2.0–5.2.19)
• ✔ النشر كملف WAR
• ✔ التشغيل على Apache Tomcat
• ✔ تمكين ربط البيانات لمعاملات الطلب

إذا كان التطبيق معبأ كـ JAR قابل للتنفيذ في Spring Boot، فعادةً لم يكن الاستغلال ممكنًا.

---

💥 التأثير المحتمل

إذا تم استغلال الثغرة بنجاح، يمكن للمهاجم:

• تحميل web shell (JSP)
• تنفيذ أوامر نظام عشوائية
• الوصول إلى بيانات التطبيق الحساسة
• التحرك أعمق داخل الشبكات الداخلية
• اختراق خادم التطبيق بالكامل

---

📊 الخطورة وCVSS

---

🛠 التخفيف والتصحيح

✅ التصحيح الرسمي

الترقية إلى:

• Spring Framework 5.3.18
• Spring Framework 5.2.20

كما تم تحديث إصدارات Spring Boot وفقًا لذلك.

---

🔒 التوصيات الأمنية

• تفضيل التغليف بصيغة JAR بدلاً من WAR
• ترقية بيئة تشغيل Java
• تقييد الدلائل القابلة للكتابة
• تعطيل حقول الربط غير الضرورية
• مراقبة إنشاء الملفات المشبوهة
• نشر جدار حماية تطبيقات الويب (WAF)

---

🗓 الجدول الزمني

---

🔥 Spring4Shell مقابل Log4Shell

كانت Spring4Shell خطيرة، لكن Log4Shell كان لها تعرض أوسع في العالم الحقيقي.

---

📌 ملخص

---

⚠️ ملاحظات ختامية

أظهرت Spring4Shell كيف يمكن لربط الكائنات المعقدة والانعكاس في الأطر الحديثة أن يُدخل أسطح هجوم غير متوقعة.

على الرغم من أنها لم تكن بنفس التأثير العالمي مثل Log4Shell، إلا أنها تظل ثغرة حرجة تطلبت تصحيحًا فوريًا في البيئات المتأثرة.