مثال مبسط لـ CVE-2022-22965

في وقت كتابة هذا النص، يسمح ربط معاملات الطلب في Spring-Web (WebDataBinder) افتراضيًا بالوصول إلى طريقة getClass() للكائن. هذه تفاصيل تنفيذ داخلية خاصة بـ JVM (في رأيي المتواضع لا ينبغي كشفها). وبالتالي، قد تتغير ميزاتها وتُوسع مع الإصدارات المستقبلية من JVM. وهذا يجعله عبئًا مستمرًا على المطورين، حيث يحاولون التنبؤ بالطرق الإبداعية التي قد يستغلها المهاجمون للوصول القوي هذا بطرق خبيثة.

في هذا CVE بالذات، كان السبب هو طريقة Class::getModule() التي أُدخلت في Java 9. مما فتح وصولًا غير محروس إلى محمل الفئات (class-loader).

في المثال أدناه، يستخدم المهاجم ذلك لإعادة تكوين مسجل الوصول الخاص بـ Tomcat. في العادة، يكتب معلومات قصيرة عن كل طلب يستقبله الخادم إلى ملف سجل. تحدد الخاصية pattern ما يُكتب من معلومات، و directory أين يجب وضع ملف السجل، و prefix, fileDateFormat, suffix ما يجب أن يكون اسم الملف.

الطلب التالي سيستهدف نقطة نهاية لتطبيقنا الضعيف . يعيد تكوين المسجل لكتابة سطر لكل طلب يتم معالجته، إلى ملف في الدليل ، حيث هو عنصر نائب لقيمة رأس الطلب .