CVE-2022-22965, также известная как "Spring4Shell"

RCE-уязвимость в Spring Framework через Data Binding на JDK 9+

Цель — централизовать как можно больше общедоступной информации об уязвимости на данный момент и знать, какие действия предпринять в таком случае.

Уязвимо ли моё приложение?

Необходимые условия (AND):

• JDK 9+
• Apache Tomcat в качестве Servlet-контейнера
• Приложение упаковано как WAR
• Зависимость spring-webmvc или spring-webflux

Моё приложение построено как исполняемый Spring Boot jar, уязвимо ли оно?

На данный момент не уязвимо для этого эксплойта. Но имейте в виду, что эта уязвимость носит более общий характер, поэтому могут существовать другие способы её эксплуатации.

Затронутые продукты

Spring Framework

• 5.3.0 – 5.3.17
• 5.2.0 – 5.2.19

Более старые или уже не поддерживаемые версии также уязвимы.

Смягчение

Spring Framework

• 5.3.18+
• 5.2.20+

Другие варианты смягчения

Если нет возможности исправить уязвимость, Spring опубликовал несколько обходных решений.

Apache Tomcat выпустил 3 новые версии, обеспечивающие надлежащую защиту: 10.0.20, 9.0.62 и 8.5.78. Рекомендуется рассматривать их как дополнительный уровень защиты к обновлению Spring Framework.

Дополнительные обновления

Были опубликованы версии Spring Boot 2.6.6 и 2.5.12, которые зависят от Spring Framework 5.3.18.

Обнаружение

Можно использовать инструмент https://github.com/hillu/local-spring-vuln-scanner (зеркало) для обнаружения экземпляров, уязвимых для Spring4Shell. Пример выполнения:

./local-spring-vuln-scanner --verbose --log </path/to/file.log> </path/to/app1> </path/to/appN>

Мы разработали правило обнаружения для Wazuh, которое вы можете найти в каталоге "detection" этого репозитория. Основываясь на наборе индикаторов атак (IOA), оно позволяет обнаруживать попытки атак.

Другие CVE и/или ошибочные концепции

• Были предположения о коммите относительно подтверждения устаревания метода SerializationUtils.deserialize(...). Этот класс не подвергается внешним входным данным, и устаревание не связано с данной уязвимостью.

• Была путаница с CVE для Spring Cloud Function, опубликованным незадолго до сообщения об этой уязвимости CVE-2022-22963. Он также не связан.

Лаборатория

TryHackMe создала интерактивную лабораторию по эксплуатации Spring4Shell

• https://tryhackme.com/room/spring4shell

Ссылки

• https://tanzu.vmware.com/security/cve-2022-22965
• https://app.howlermonkey.io/vulnerabilities/CVE-2022-22965
• https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
• https://spring.io/blog/2022/04/01/spring-framework-rce-mitigation-alternative
• https://www.lunasec.io/docs/blog/spring-rce-vulnerabilities
• https://www.cyberkendra.com/2022/03/spring4shell-details-and-exploit-code.html
• https://www.praetorian.com/blog/spring-core-jdk9-rce/
• https://mp.weixin.qq.com/s/kgw-O4Hsd9r2vfme3Y2Ynw
• http://blog.o0o.nu/2010/06/cve-2010-1622.html
• https://www.microsoft.com/security/blog/2022/04/04/springshell-rce-vulnerability-guidance-for-protecting-against-and-detecting-cve-2022-22965/
• https://unit42.paloaltonetworks.com/cve-2022-22965-springshell/