CVE-2022-22965 المعروف أيضًا باسم "Spring4Shell"

ثغرة RCE في Spring Framework عبر Data Binding على JDK 9+

الهدف هو تجميع أكبر قدر ممكن من المعلومات المتاحة للعموم حول الثغرة حتى الآن، ومعرفة الإجراءات التي يجب اتخاذها في هذه الحالة.

هل تطبيقي عرضة للخطر؟

الشروط (AND) التي يجب توفرها هي:

• JDK 9 +
• Apache Tomcat كحاوية سيرفلت
• تطبيق معبأ كملف WAR
• اعتماد على spring-webmvc أو spring-webflux

إذا كان تطبيقي مبنيًا كملف جرة تنفيذي Spring Boot، فهل هو عرضة للخطر؟

حتى الآن، ليس عرضةً للاستغلال (exploit). ولكن يجب ملاحظة أن هذه الثغرة ذات طابع أكثر عمومية، لذا قد توجد طرق أخرى لاستغلالها.

المنتجات المتأثرة

Spring Framework

• 5.3.0 إلى 5.3.17
• 5.2.0 إلى 5.2.19

الإصدارات الأقدم أو غير المدعومة حاليًا متأثرة أيضًا.

التخفيف

Spring Framework

• 5.3.18+
• 5.2.20+

بدائل أخرى للتخفيف

في حال تعذر ترقيع الثغرة، نشرت Spring بعض الحلول البديلة.

أصدرت Apache Tomcat 3 إصدارات جديدة توفر حماية مناسبة: 10.0.20 و9.0.62 و8.5.78، ويُقترح اعتبارها طبقة حماية إضافية إلى جانب تحديث Spring Framework.

تحديثات إضافية

تم نشر إصدارَي Spring Boot 2.6.6 و2.5.12 اللذين يعتمدان على Spring Framework 5.3.18.

الكشف

يمكن استخدام الأداة https://github.com/hillu/local-spring-vuln-scanner (مرآة) لكشف الحالات المعرضة لثغرة Spring4Shell. مثال محتمل للتنفيذ هو:

./local-spring-vuln-scanner --verbose --log </path/to/file.log> </path/to/app1> </path/to/appN>

لقد قمنا بتطوير قاعدة كشف لـ Wazuh يمكنك الحصول عليها في مجلد "detection" في هذا المستودع، وهي تعتمد على مجموعة من مؤشرات الهجوم (IOA) لاكتشاف محاولات الهجوم.

CVEs أخرى و/أو مفاهيم خاطئة

• كانت هناك تكهنات حول commit بخصوص التأكيد على إهمال استخدام الطريقة SerializationUtils.deserialize(...). هذه الفئة غير معرّضة لمدخلات خارجية، وهذا الإهمال غير مرتبط بهذه الثغرة.

• حدث التباس مع CVE خاص بـ Spring Cloud Function نُشر مباشرة قبل الإبلاغ عن هذه الثغرة CVE-2022-22963. كما أنه غير مرتبط.

مختبر

أنشأت TryHackMe مختبرًا تفاعليًا لاستغلال Spring4Shell

• https://tryhackme.com/room/spring4shell

المراجع

• https://tanzu.vmware.com/security/cve-2022-22965
• https://app.howlermonkey.io/vulnerabilities/CVE-2022-22965
• https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
• https://spring.io/blog/2022/04/01/spring-framework-rce-mitigation-alternative
• https://www.lunasec.io/docs/blog/spring-rce-vulnerabilities
• https://www.cyberkendra.com/2022/03/spring4shell-details-and-exploit-code.html
• https://www.praetorian.com/blog/spring-core-jdk9-rce/
• https://mp.weixin.qq.com/s/kgw-O4Hsd9r2vfme3Y2Ynw
• http://blog.o0o.nu/2010/06/cve-2010-1622.html
• https://www.microsoft.com/security/blog/2022/04/04/springshell-rce-vulnerability-guidance-for-protecting-against-and-detecting-cve-2022-22965/
• https://unit42.paloaltonetworks.com/cve-2022-22965-springshell/