---

📖 Indice

• Panoramica
• Componenti interessati
• Causa tecnica principale
• Condizioni di sfruttamento
• Impatto
• Gravità e CVSS
• Mitigazione e patch
• Cronologia
• Confronto con Log4Shell
• Riepilogo

---

🔎 Panoramica

Spring4Shell è il soprannome per CVE-2022-22965, una vulnerabilità nel meccanismo di data binding di Spring che potrebbe consentire agli attaccanti di ottenere esecuzione di codice remoto (RCE).

Colpiva principalmente applicazioni che utilizzano:

• :contentReference[oaicite:1]{index=1}
• Confezionato come file WAR
• Distribuito su :contentReference[oaicite:2]{index=2}
• In esecuzione su :contentReference[oaicite:3]{index=3} 9 o successivo

---

🧠 Causa tecnica principale

Spring MVC mappa automaticamente i parametri delle richieste HTTP ai campi degli oggetti Java — un processo chiamato data binding.

In determinate condizioni, gli attaccanti potevano:

1. Manipolare le proprietà degli oggetti tramite parametri HTTP modificati
2. Accedere alle proprietà interne del class loader
3. Modificare la configurazione di Tomcat
4. Scrivere un file JSP malevolo (web shell) su disco

Ciò alla fine consentiva l'esecuzione di codice arbitrario sul server.

---

⚙️ Condizioni di sfruttamento

Spring4Shell non era universalmente sfruttabile. Tutte le seguenti condizioni dovevano essere vere:

• ✔ Eseguire Java 9+
• ✔ Utilizzare versioni vulnerabili di Spring (5.3.0–5.3.17 o 5.2.0–5.2.19)
• ✔ Distribuito come file WAR
• ✔ In esecuzione su Apache Tomcat
• ✔ Data binding abilitato per i parametri delle richieste

Se confezionato come JAR eseguibile Spring Boot, lo sfruttamento in genere non era possibile.

---

💥 Impatto potenziale

Se sfruttato con successo, un attaccante poteva:

• Caricare una web shell (JSP)
• Eseguire comandi di sistema arbitrari
• Accedere a dati sensibili dell'applicazione
• Muoversi più in profondità nelle reti interne
• Compromettere completamente il server applicativo

---

📊 Gravità e CVSS

---

🛠 Mitigazione e patch

✅ Correzione ufficiale

Aggiornare a:

• Spring Framework 5.3.18
• Spring Framework 5.2.20

Anche le versioni di Spring Boot sono state aggiornate di conseguenza.

---

🔒 Rafforzamento consigliato

• Preferire il confezionamento JAR rispetto a WAR
• Aggiornare il runtime Java
• Limitare le directory scrivibili
• Disabilitare i campi di binding non necessari
• Monitorare la creazione di file sospetti
• Distribuire un Web Application Firewall (WAF)

---

🗓 Cronologia

---

🔥 Spring4Shell vs Log4Shell

Spring4Shell era grave, ma Log4Shell aveva un'esposizione reale più ampia.

---

📌 Riepilogo

---

⚠️ Note finali

Spring4Shell ha dimostrato come il complesso binding degli oggetti e la riflessione nei framework moderni possano introdurre superfici di attacco inaspettate.

Sebbene non abbia avuto un impatto globale quanto Log4Shell, rimane una vulnerabilità critica che richiedeva una patch immediata negli ambienti interessati.