CVE-2022-22965

गंभीरप्रकाशित

Spring Framework JDK 9+ में दूरस्थ कोड निष्पादन भेद्यता

प्रकाशित: 1 अप्रैल 2022
अद्यतन: 21 अक्टू॰ 2025
सीएनए असाइन करना: vmware
साक्ष्य देखे गए: 4 अप्रैल 2022

प्राथमिक सीवीएसएस

9.8/ 10गंभीर

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

ईपीएसएस संभाव्यता अनुमान

99.6%

उच्च · अगले 30 दिन

प्रतिशत: 100.0%
मॉडल दिनांक: 17 अक्टू॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सीआईएसए ज्ञात शोषण

यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।

सारांश

JDK 9+ पर चलने वाला Spring MVC या Spring WebFlux अनुप्रयोग डेटा बाइंडिंग के माध्यम से रिमोट कोड निष्पादन (RCE) के प्रति संवेदनशील हो सकता है। विशिष्ट शोषण के लिए अनुप्रयोग को WAR डिप्लॉयमेंट के रूप में Tomcat पर चलाना आवश्यक है। यदि अनुप्रयोग Spring Boot निष्पादन योग्य jar के रूप में तैनात किया गया है, अर्थात् डिफ़ॉल्ट रूप से, तो यह शोषण के प्रति संवेदनशील नहीं है। हालाँकि, भेद्यता की प्रकृति अधिक सामान्य है, और इसका शोषण करने के अन्य तरीके भी हो सकते हैं।

स्रोत

रिपॉज़िटरी साक्ष्य: फ़ाइलें: 3 · रिपॉज़िटरी: 3

1 मॉड्यूल1 टेम्पलेट1 लैब

Spring Framework Data Binding Remote Code Execution on JDK 9+लैब
spring/CVE-2022-22965
Spring Framework Data Binding Remote Code Execution on JDK 9+ (CVE-2022-22965)
Vulhub vulnerability labs
अनुसंधानसाक्ष्य देखे गए: 25 सित॰ 2026संशोधन: 9b90d4276f84संबंधित टूल
घोषित शर्तें
- lab image version: vulhub/spring-webmvc:5.3.17(spring/CVE-2022-22965/docker-compose.yml:services.spring.image)
Spring Framework Class property RCE (Spring4Shell)मॉड्यूल
modules/exploits/multi/http/spring_framework_rce_spring4shell.rb
Metasploit Framework modules
एक्सप्लॉइटसाक्ष्य देखे गए: 26 सित॰ 2026संशोधन: b22ce1fbae63संबंधित टूल
घोषित शर्तें
- platform: Linux,Windows($.exploit_multi/http/spring_framework_rce_spring4shell.platform)
- verification: check_declared($.exploit_multi/http/spring_framework_rce_spring4shell.check)
Spring - Remote Code Executionटेम्पलेट
http/cves/2022/CVE-2022-22965.yaml
Nuclei Templates
पता लगानासाक्ष्य देखे गए: 26 सित॰ 2026संशोधन: 17f5725dc10cसंबंधित टूल
घोषित शर्तें
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)
- oob: interactsh_reference($.template_text)

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।