Nueva Vulnerabilidad 0Day de Ejecución de Código en Spring Framework

Nueva Vulnerabilidad 0Day de Ejecución de Código en Spring Framework

Nueva Vulnerabilidad 0-Day de Ejecución de Código en Spring Framework - CVE-2022-22965

rce.jpg

DESCRIPCION

Spring es un proyecto mantenido por Spring.io (una filial de VMWare) y es utilizado por muchos frameworks de software empresarial basados en Java. Se han identificado una vulnerabilidad  de 0day en Spring:

  • RCE 0day en Spring Core (Spring4Shell), La vulnerabilidad crítica Spring4Shell ha sido reportada por los investigadores codeplutos y meizjm3i de AntGroup FG Security Lab, y podría permitir a un atacante no autenticado ejecutar código arbitrario en el sistema objetivo.

 

La vulnerabilidad Spring4Shell afecta a las aplicaciones Spring MVC y Spring WebFlux que se ejecutan en JDK 9+. El exploit requiere que la aplicación se ejecute en Tomcat como un despliegue WAR. Si la aplicación se despliega como un JAR ejecutable de Spring Boot (configuración por defecto) no es vulnerable.

La explotación de esta vulnerabilidad requiere un endpoint con DataBinder habilitado y depende en gran medida del contenedor de servlets de la aplicación.

 

  

SOLUCIONES

Update de Spring Boot

El equipo de Spring solucionó la vulnerabilidad y lanzó las últimas versiones de Spring Boot 2.6.6 y 2.5.12 que dependen de Spring Framework 5.3.18.

Web Application Firewall - WAF

En dispositivos de protección de red como WAF, implemente filtros en las reglas para cadenas como "clase. *", "Clase.*", "*.clase.*" y "*.Clase.*". Después de filtrar las reglas, valide si su servicio se encuentra trabajando correctamente.

 

 

Nota: existen PoCs de Spring4Shell publicados, para mayor información ingrese al siguiente link  https://raw.githubusercontent.com/craig/SpringCore0day/main/exp.py

 

Canal de Denuncias

Ingrese a este enlace para denunciar cualquier actividad de la que haya podido ser testigo o tenga alguna sospecha de comisión de un delito relacionado a corrupción.