Spring4Shell-POC (CVE-2022-22965)

Spring4Shell (CVE-2022-22965) Proof of Concept/Information + Ein verwundbarer Tomcat-Server mit einer verwundbaren spring4shell-Anwendung.

Am frühen Morgen haben mehrere Quellen über einen möglichen RCE-Exploit im beliebten Java-Framework spring informiert.

Die Benennung dieser Schwachstelle basiert auf den Ähnlichkeiten zu dem berüchtigten Log4j LOG4Shell.

Details zu dieser Schwachstelle

• https://websecured.io/blog/624411cf775ad17d72274d16/spring4shell-poc
• https://www.springcloud.io/post/2022-03/spring-0day-vulnerability
• https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement

POC-Nutzung

Die Nutzung ist einfach! Sie können entweder das Docker-Image ausführen oder einfach das Python-Skript ausführen!

Bitte beachten Sie vulnerable-tomcat für Anweisungen zum Einrichten Ihrer eigenen spring4shell-verwundbaren Anwendung hier!

Voraussetzungen

• Python3 oder Docker

Python

pip install -r requirements.txt
poc.py --help

Docker

## Dockerhub
docker pull bobtheshoplifter/spring4shell-poc:latest
docker run bobtheshoplifter/spring4shell-poc:latest --url https://example.io/
## Github docker repository
docker pull ghcr.io/bobtheshoplifter/spring4shell-poc:main
docker run ghcr.io/bobtheshoplifter/spring4shell-poc:main --url https://example.io/

Verwundbarer Tomcat-Server

Ich habe nun ein Docker-Image dafür erstellt, das eine verwundbare spring + tomcat-Anwendung enthält.

Die Anwendung sollte ausreichen, um diese Schwachstelle zu testen.

Bitte beachten Sie (vulnerable-tomcat/README.md)

Gegenmaßnahmen

!!(Die folgenden Gegenmaßnahmen sind nur theoretisch, da nichts bestätigt wurde)!!

JDK-Version unter 9

Cyberkendra informierte, dass JDK-Versionen niedriger als JDK 9

Sie können dies leicht überprüfen, indem Sie Folgendes ausführen

java -version

Das wird etwas Ähnliches wie dies anzeigen

openjdk version "17.0.2" 2022-01-18
OpenJDK Runtime Environment (build 17.0.2+8-Ubuntu-120.04)
OpenJDK 64-Bit Server VM (build 17.0.2+8-Ubuntu-120.04, mixed mode, sharing)

Wenn Ihre JDK-Version unter 8 liegt, sind Sie möglicherweise sicher, aber nichts ist bisher bestätigt

Der folgende Artikel wird aktualisiert

Überprüfen, ob Sie das spring framework verwenden

Führen Sie eine globale Suche nach spring-beans*.jar und spring*.jar durch

find . -name spring-beans*.jar

POC, übersetzt aus diesem Repository: https://github.com/craig/SpringCore0day/blob/main/exp.py