CVE-2022-22965

CVE-2022-22965 EXP\n Общие требования окружения:

1. Используется ли Spring Framework? Если нет, то уязвимость отсутствует.

2. Используется ли привязка параметров Spring? Если нет, то уязвимость отсутствует.

3. Версия JDK, используемая промежуточным ПО. Если версия меньше 9, то уязвимость отсутствует.

4. Используется ли Tomcat в качестве промежуточного ПО? Если Tomcat не используется, то уязвимость временно не затрагивает.

5. Включен ли AccessLog в Tomcat? Если не включен, то уязвимость временно не затрагивает. В файле конфигурации server.xml с помощью ключевого слова org.apache.catalina.valves.AccessLogValve можно найти соответствующую конфигурацию AccessLog.

Конкретные сценарии в официальном уведомлении:

1. Упаковка в традиционный WAR (по сравнению с исполняемым JAR Spring Boot)

2. Зависимости spring-webmvc или spring-webflux

3. Версии Spring Framework 5.3.0 – 5.3.17, 5.2.0 – 5.2.19 и более ранние

Требования к среде для эксплойта:

python3

Необходимые пакеты Python: requests, argparse, urllib.parse