Spring-Core-RCE Spring Framework リモートコード実行の脆弱性（CVE-2022-22965）

Spring-Core-RCE は、Apache Log4j2 の核弾頭レベルの脆弱性エクスプロイトに匹敵する RCE ワンクリック悪用ツールです。

概要

最近、Spring 公式 GitHub issue で Spring Core のリモートコード実行の脆弱性が言及されました。この脆弱性は Spring フレームワークおよび派生フレームワークに広く存在します。

脆弱性の説明

Spring Core は、Spring シリーズ製品において bean 間の関係の発見、作成、処理を担うツールキットであり、Spring フレームワークの基本となる中核ツールキットです。Spring の他のコンポーネントはすべてこのパッケージを使用します。

認証されていない攻撃者は、この脆弱性を利用してリモートから任意のコードを実行できます。この脆弱性は Spring フレームワークおよび派生フレームワークに広く存在し、JDK 9.0 以降のバージョンが影響を受けます。古い JDK バージョンを使用する製品は影響を受けません。この脆弱性が存在する企業は、ファイアウォールで特別な文字列を含むリクエストをブロックし、攻撃を防ぐことを推奨します。

脆弱性の再現

POC ワンクリック利用

脆弱性環境の構築

0x01、docker を使用してダウンロード docker pull vulfocus/spring-core-rce-2022-03-29

0x02、ターゲットマシンのコンテナを実行

docker run -d -p 8080:8080 vulfocus/spring-core-rce-2022-03-29:latest

0x03、http://127.0.0.1:8080/ にアクセスし、ok が表示されればサービスは正常です

0x04、exp を使用して攻撃

0x05、最高権限を取得:

http://127.0.0.1:8080/tomcatwar.jsp?pwd=j&cmd=whoami にアクセス

影響範囲

Spring フレームワークおよび派生フレームワークが影響を受けます。（JDK バージョンは 9.0 以上である必要があります。）

現在の FOFA システムの最新データ（1年以内のデータ）によると、世界範囲（上記の FOFA クエリ文）では合計 7,023,506 件の関連サービスが外部に公開されています。中国が最も多く 2,987,121 件、米国が 2 番目で 1,215,955 件、ブラジルが 3 番目で 381,319 件、韓国が 4 番目で 219,201 件、ドイツが 5 番目で 213,097 件です。

世界範囲の分布状況は以下のとおりです（あくまで分布状況であり、脆弱性の影響状況ではありません）

修正の推奨事項

Spring Framework のバージョンをアップグレード

Spring Framework == 5.3.18 

Spring Framework == 5.2.20

一時的な防御策：

1、WAF 防御。

WAF に以下のルールを追加して、特殊な入力文字列をフィルタリングできます：

Class.*

class.*

*.class.*

*Class.*

2、ブラックリスト戦略による防御。

影響を受ける製品のコード内で @InitBinder アノテーションを検索し、メソッド本体内に dataBinder.serDisallowerFields メソッドがあるかどうかを確認します。そのメソッドが存在する場合は、ブラックリストに以下のフィルタリングルールを追加します：

Class.*

class.*

*.class.*

*Class.*

参考

[1] https://github.com/spring-projects/spring-framework/issues/27483

[2] https://github.com/google/tsunami-security-scanner-plugins/issues/234

CVE-2022-22965_Spring_Core_RCE

人気