Spring4Shell - PoC

CVE - 2022 - 22965

Betroffene Versionen :

• Spring Framework Versionen 5.3.0 bis 5.3.17, 5.2.0 bis 5.2.19 und ältere Versionen
• Java JDK 9
• Apache Tomcat Versionen unter 10..0.20, 9.0.62 und 8.5.78
• Anwendungen, die als traditionelles WAR mit spring-webmvc- oder spring-webflux-Abhängigkeit gepackt und auf einem eigenständigen Servlet-Container bereitgestellt werden, sind betroffen.

Beschreibung

• Das Problem kann durch classLoader-Manipulation verschärft werden.
• Fehlerhaftes Data Binding, das zum Befüllen eines Objekts aus Request-Parametern (Request-Mapping-Annotation) verwendet wird, verursacht diese Schwachstelle.
• Angreifer können beliebige Klassen laden und beliebigen Code injizieren, der von der Anwendung ausgeführt werden kann.
• Eine ähnliche Schwachstelle (CVE-2010-1622) wurde bereits früher offengelegt und es wurden Patches angewendet, um class.classLoader und class.protectionDomain einzuschränken.
• Aber JDK9 führte eine neue Methode class.getMethod() ein, die diese Einschränkung umgeht, indem sie verwendet, um auf jede Kindeigenschaft des Klassenobjekts zuzugreifen.