CVE-2022-22965 aka "Spring4Shell"

RCE-Sicherheitslücke im Spring Framework via Data Binding auf JDK 9+

Ziel ist es, die größtmögliche Menge an öffentlich bekannten Informationen über die Sicherheitslücke zu zentralisieren und zu wissen, welche Maßnahmen in einem solchen Fall zu ergreifen sind.

Ist meine Anwendung verwundbar?

Die Bedingungen (AND), die erfüllt sein müssen, sind:

• JDK 9 +
• Apache Tomcat als Servlet-Container
• Als WAR verpackte Anwendung
• Abhängigkeit spring-webmvc oder spring-webflux

Meine Anwendung ist als ausführbare Spring Boot Jar erstellt, ist sie verwundbar?

Zum jetzigen Zeitpunkt ist sie nicht durch den Exploit verwundbar. Beachten Sie jedoch, dass diese Sicherheitslücke allgemeinerer Natur ist, sodass es andere Möglichkeiten geben könnte, sie auszunutzen.

Betroffene Produkte

Spring Framework

• 5.3.0 bis 5.3.17
• 5.2.0 bis 5.2.19

Auch ältere oder nicht mehr unterstützte Versionen sind betroffen.

Abhilfe

Spring Framework

• 5.3.18+
• 5.2.20+

Weitere Abhilfemöglichkeiten

Falls ein Patchen der Sicherheitslücke nicht möglich ist, hat Spring einige Workarounds veröffentlicht.

Apache Tomcat hat 3 neue Versionen veröffentlicht, die einen angemessenen Schutz bieten: 10.0.20, 9.0.62 und 8.5.78. Es wird empfohlen, sie als zusätzliche Schutzschicht zur Aktualisierung von Spring Framework zu betrachten.

Zusätzliche Aktualisierungen

Die Versionen Spring Boot 2.6.6 und 2.5.12 wurden veröffentlicht, die von Spring Framework 5.3.18 abhängen.

Erkennung

Das Tool https://github.com/hillu/local-spring-vuln-scanner (Mirror) kann verwendet werden, um Instanzen zu erkennen, die für Spring4Shell anfällig sind. Ein mögliches Ausführungsbeispiel ist:

./local-spring-vuln-scanner --verbose --log </path/to/file.log> </path/to/app1> </path/to/appN>

Wir haben eine Erkennungsregel für Wazuh entwickelt, die Sie im Verzeichnis "detection" dieses Repositorys finden. Basierend auf einer Reihe von Angriffsindikatoren (IOA) können Angriffsversuche erkannt werden.

Andere CVEs und/oder Missverständnisse

• Es gab Spekulationen über einen Commit im Zusammenhang mit der Entscheidung, die Verwendung der Methode SerializationUtils.deserialize(...) zu missbilligen. Diese Klasse ist keinen externen Eingaben ausgesetzt, und die Missbilligung steht in keinem Zusammenhang mit dieser Sicherheitslücke.

• Es gab Verwirrung mit einem CVE für Spring Cloud Function, der kurz vor der Meldung dieser Sicherheitslücke veröffentlicht wurde CVE-2022-22963. Auch dies steht in keinem Zusammenhang.

Labor

TryHackMe hat ein interaktives Labor zur Ausnutzung von Spring4Shell erstellt

• https://tryhackme.com/room/spring4shell

Referenzen

• https://tanzu.vmware.com/security/cve-2022-22965
• https://app.howlermonkey.io/vulnerabilities/CVE-2022-22965
• https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
• https://spring.io/blog/2022/04/01/spring-framework-rce-mitigation-alternative
• https://www.lunasec.io/docs/blog/spring-rce-vulnerabilities
• https://www.cyberkendra.com/2022/03/spring4shell-details-and-exploit-code.html
• https://www.praetorian.com/blog/spring-core-jdk9-rce/
• https://mp.weixin.qq.com/s/kgw-O4Hsd9r2vfme3Y2Ynw
• http://blog.o0o.nu/2010/06/cve-2010-1622.html
• https://www.microsoft.com/security/blog/2022/04/04/springshell-rce-vulnerability-guidance-for-protecting-against-and-detecting-cve-2022-22965/
• https://unit42.paloaltonetworks.com/cve-2022-22965-springshell/