Spring4Shell (CVE-2022-22965) - Prueba de Concepto de Ejecución Remota de Código

Una Prueba de Concepto (PoC) totalmente contenerizada que demuestra la explotación de Spring4Shell (CVE-2022-22965), lo que resulta en Ejecución Remota de Código (RCE) contra una aplicación Spring Framework vulnerable desplegada en Apache Tomcat.

El proyecto recrea el entorno vulnerable completo para facilitar la investigación en seguridad, la práctica de pruebas de penetración, el análisis de vulnerabilidades y el aprendizaje defensivo en un laboratorio seguro y reproducible.

Aviso legal

Este repositorio se proporciona estrictamente con fines educativos, de investigación y de pruebas de seguridad autorizadas. El entorno vulnerable es intencionalmente inseguro y solo debe ejecutarse en condiciones de laboratorio aisladas. El autor no asume ninguna responsabilidad por el mal uso o por cualquier daño derivado del uso de este proyecto.

---

Visión General

Spring4Shell (CVE-2022-22965) es una vulnerabilidad crítica de Ejecución Remota de Código que afecta a versiones específicas de Spring Framework cuando se despliega en Apache Tomcat bajo condiciones de ejecución particulares.

Este repositorio proporciona un entorno de laboratorio totalmente reproducible que permite a investigadores y estudiantes comprender:

• cómo funciona la vulnerabilidad;
• el flujo de explotación;
• las condiciones necesarias para una explotación exitosa;
• estrategias prácticas de mitigación.

La aplicación está completamente aislada dentro de un contenedor Docker, lo que permite experimentar sin afectar al sistema operativo anfitrión.

---

Entorno Objetivo

Componente	Versión	Descripción
Spring Boot	2.6.2	Aplicación vulnerable
Spring Framework	5.3.14	Versión vulnerable
Apache Tomcat	9.0.60	Contenedor de servlets
Java	JDK 11	Tiempo de ejecución requerido
Sistema Operativo	Ubuntu 24.04	Contenedor Docker

---

Estructura del Repositorio

.
├── Dockerfile
├── pom.xml
├── src/
│   ├── main/
│   └── test/
├── README.md
└── exploit/

---

Comenzando

Clonar el repositorio

git clone https://github.com/<username>/<repository>.git
cd <repository>

Construir la imagen Docker

docker build -t spring4shell:2.6.2 .

Ejecutar la aplicación vulnerable

docker run -p 8080:8080 spring4shell:2.6.2

La aplicación estará disponible en:

http://localhost:8080

---

Flujo de Explotación

El repositorio demuestra la cadena de ataque completa:

1. Desplegar la aplicación vulnerable.
2. Verificar los prerrequisitos del exploit.
3. Entregar el payload malicioso.
4. Modificar la configuración de registro de Tomcat.
5. Escribir el web shell JSP malicioso.
6. Ejecutar comandos arbitrarios mediante el shell desplegado.

---

Objetivos de Aprendizaje

Este proyecto cubre varios conceptos importantes de seguridad ofensiva:

• Data Binding de Spring MVC
• Reflexión de Java
• Funcionamiento interno de Apache Tomcat
• Ejecución Remota de Código (RCE)
• Seguridad en Aplicaciones Web
• Reproducción de Vulnerabilidades
• Despliegue Seguro de Laboratorios
• Análisis Defensivo

---

Mitigación

Para mitigar CVE-2022-22965:

• Actualice a una versión parcheada de Spring Framework.
• Actualice Apache Tomcat cuando corresponda.
• Aplique los avisos oficiales de Spring Security.
• Restrinja el data binding innecesario.
• Parchee continuamente las dependencias de la aplicación.
• Nunca exponga entornos intencionalmente vulnerables a redes públicas.

---

Referencias

• CVE-2022-22965
• Aviso de Seguridad de Spring
• Aviso de Seguridad de VMware
• Documentación de Apache Tomcat
• Base de Datos Nacional de Vulnerabilidades de NIST (NVD)

---

⭐ Si encuentras este proyecto útil para el aprendizaje o la investigación en seguridad, considera darle una estrella ⭐