Spring-Core-RCE Уязвимость удаленного выполнения команд в Spring Framework (CVE-2022-22965)

Spring-Core-RCE — это эксплойт для удаленного выполнения команд уровня «ядерной бомбы», аналогичный Apache Log4j2.

Обзор

Недавно в официальном GitHub issue Spring было упомянуто об уязвимости удаленного выполнения команд в Spring Core, которая широко распространена в Spring Framework и производных фреймворках.

Описание уязвимости

Spring core — это пакет инструментов в линейке продуктов Spring, отвечающий за обнаружение, создание и обработку взаимосвязей между компонентами (beans). Он содержит основные инструменты ядра Spring Framework, и все остальные компоненты Spring используют этот пакет.

Неавторизованный злоумышленник может использовать эту уязвимость для удаленного выполнения произвольного кода. Уязвимость широко распространена в Spring Framework и производных фреймворках, затрагивая JDK 9.0 и выше. Продукты, использующие старые версии JDK, не подвержены воздействию. Рекомендуется организациям, в которых присутствует данная уязвимость, блокировать запросы, содержащие специальные строки, на межсетевом экране, чтобы избежать атак.

Воспроизведение уязвимости

Однокнопочное использование POC

Настройка уязвимой среды

0x01. Загрузка образов Docker с помощью docker pull vulfocus/spring-core-rce-2022-03-29

0x02. Запуск контейнера-цели

docker run -d -p 8080:8080 vulfocus/spring-core-rce-2022-03-29:latest

0x03. Переход по адресу http://127.0.0.1:8080/ — появление «ok» означает, что сервис работает нормально

0x04. Использование эксплойта для атаки

0x05. Получение максимальных привилегий:

Переход по адресу http://127.0.0.1:8080/tomcatwar.jsp?pwd=j&cmd=whoami

Область воздействия

Spring Framework и производные фреймворки подвержены уязвимости (требуется версия JDK 9.0 и выше).

Согласно последним данным системы FOFA (данные за последний год), по всему миру открыты 7 023 506 соответствующих сервисов. Наибольшее количество — в Китае (2 987 121), затем США (1 215 955), Бразилия (381 319), Южная Корея (219 201), Германия (213 097).

Глобальное распределение (только по количеству сервисов, не по факту уязвимости).

Рекомендации по исправлению

Обновите версию Spring Framework

Spring Framework == 5.3.18 

Spring Framework == 5.2.20

Временные меры защиты:

1. Защита с помощью WAF.

Добавьте в WAF следующие правила для фильтрации специальных строк ввода:

Class.*

class.*

*.class.*

*Class.*

2. Защита с помощью списка блокировки (черного списка).

В коде уязвимого продукта найдите аннотацию @InitBinder, проверьте, содержит ли тело метода вызов dataBinder.serDisallowerFields. Если такой метод существует, добавьте в черный список следующие правила фильтрации:

Class.*

class.*

*.class.*

*Class.*

Ссылки

[1] https://github.com/spring-projects/spring-framework/issues/27483

[2] https://github.com/google/tsunami-security-scanner-plugins/issues/234