CVE-2022-22965_Spring4Shell

CVE-2022-22965（Spring4Shell、SpringShell）は、Spring Framework における脆弱性で、データバインディング機能を利用して、HTTP リクエスト内に格納されたデータをアプリケーションが使用する特定のオブジェクトにバインドするものです。このバグは getCachedIntrospectionResults メソッドに存在し、HTTP リクエストを介してクラス名を渡すことで、こうしたオブジェクトへの不正アクセスを可能にします。特殊なオブジェクトクラスが使用された場合、データ漏えいやリモートコード実行のリスクを生み出します。この脆弱性は、長らく修正済みの CVE-2010-1622 に類似しており、その際にはクラス名が classLoader や protectionDomain と一致しないように、クラス名チェックが修正として追加されました。

スコアへの影響

CVSSv3 システムによると、 CRITICAL の深刻度と評価されます。

検出

以下は CVE-2022-22965 の検出機会であり、脆弱性の特定に使用できます。

• Florian Roth 氏が作成した Yara ルールは、実装された可能性のあるウェブシェルや概念実証（PoC）の悪用試行を検出します
• Hilko Bengen 氏は、Go で書かれた（クロスプラットフォーム対応の）ローカル CVE-2022-22965 脆弱性スキャナを作成しました。これは Maven Central リポジトリから取得した Spring アーティファクトを検索します
• OWASP Dependency Check ツールも利用でき、以下のコマンドを実行してプロジェクトおよび子プロジェクトの集約レポートを生成できます（OWASP Dependency Check の追加プロパティ）

条件

脆弱性が発生する現在の条件（Spring による脆弱性の発表に記載されているもの）は次のようにまとめられます:

• JDK 9+
• 脆弱なバージョンの Spring Framework（<5.2 | 5.2.0-19 | 5.3.0-17）
• Spring アプリケーションのサーバーとして Apache Tomcat を使用し、WAR としてパッケージ化されている
• Spring Framework の spring-webmvc および/または spring-webflux コンポーネントへの依存関係

エクスプロイト

python3 exploit.py http://10.10.10.10/

注意: 末尾のスラッシュはここでは非常に重要です！

問い合わせフォームの「action」を探します（私たちが利用できる唯一の POST リクエストです）。

<form id="contactForm" action="/" method="post">

action は「/」なので、ターゲット URL は単純に次のようになります: http://10.10.10.10/