CVE-2022-22965

CVE-2022-22965 EXP

Requisitos generales del entorno:

1. Se utiliza el framework Spring; si no se usa, la vulnerabilidad no existe.
2. Se utiliza el enlace de parámetros de Spring; si no se usa, la vulnerabilidad no existe.
3. Versión de JDK utilizada por el middleware; si la versión es menor que 9, la vulnerabilidad no existe.
4. El middleware actual utilizado es Tomcat; si no se usa Tomcat, no se ve afectado por esta vulnerabilidad por ahora.
5. Si Tomcat tiene habilitado AccessLog; si no está habilitado, no se ve afectado por esta vulnerabilidad por ahora. En el archivo de configuración server.xml, a través de la palabra clave org.apache.catalina.valves.AccessLogValve se puede localizar la configuración relacionada con AccessLog.

Escenarios específicos en el aviso oficial:

1. Empaquetado como WAR tradicional (en comparación con el jar ejecutable de Spring Boot)
2. Dependencia de spring-webmvc o spring-webflux
3. Versiones de Spring Framework 5.3.0 a 5.3.17, 5.2.0 a 5.2.19 y versiones anteriores

Requisitos del entorno del exploit: python3 Se necesitan paquetes de Python: requests, argparse, urllib.parse