{"id":103660,"date":"2022-03-31T09:36:38","date_gmt":"2022-03-31T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah"},"modified":"2022-03-31T09:36:38","modified_gmt":"2022-03-31T07:36:38","slug":"kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","title":{"rendered":"Kritische 0-Day-Sicherheitsanf\u00e4lligkeit im Spring Framework, das in vielen Java-Projekten verwendet wird","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im Spring Core-Modul, das Teil des Spring Frameworks ist, wurde eine kritische 0-Day-Sicherheitsanf\u00e4lligkeit gefunden, die es einem nicht authentifizierten Remote-Angreifer erm\u00f6glicht, seinen Code auf dem Server auszuf\u00fchren. Es ist noch unklar, wie katastrophal die Folgen dieses Problems sein k\u00f6nnten und ob die Angriffe ebenso massenhaft sein werden wie bei der Sicherheitsanf\u00e4lligkeit in Log4j 2. Die Sicherheitsanf\u00e4lligkeit tr\u00e4gt den Codenamen Spring4Shell, jedoch ist bisher keine CVE-ID zugewiesen worden. Im Spring Framework bleibt das Problem ungepatcht, und im Internet sind bereits mehrere funktionierende Prototypen von Exploits verf\u00fcgbar (1, 2, 3, 4). Die Situation wird dadurch versch\u00e4rft, dass viele Unternehmens-Java-Anwendungen, die auf dem Spring Framework basieren, mit Root-Rechten ausgef\u00fchrt werden, wodurch die Sicherheitsanf\u00e4lligkeit die gesamte Systemintegrit\u00e4t gef\u00e4hrden kann. <\/p>\n
Laut Sch\u00e4tzungen wird das Spring Core-Modul in 74 % der Java-Anwendungen verwendet. Das Risiko dieser Sicherheitsanf\u00e4lligkeit wird jedoch gemildert, da nur Anwendungen, die die Annotation '@RequestMapping' beim Verbinden von Request-Handlern sowie bei der Bindung von Webformularparametern im Format 'name=value' (POJO, Plain Old Java Object) verwenden, betroffen sind - und nicht solche, die JSON\/XML benutzen. <\/p>\n
Es ist noch unklar, welche spezifischen Java-Anwendungen und Frameworks von diesem Problem betroffen sind. Die Sicherheitsanf\u00e4lligkeit verhindert das Hinzuf\u00fcgen der Felder 'class', 'module' und 'classLoader' zu einer schwarzen Liste oder die Verwendung einer expliziten wei\u00dfen Liste zugelassener Felder. Die Ausnutzung dieser Schwachstelle ist nur bei Verwendung von Java\/JDK 9 oder einer neueren Version m\u00f6glich. Das Problem entsteht durch die M\u00f6glichkeit, den Schutz vor der Schwachstelle CVE-2010-1622 zu umgehen, die bereits 2010 im Spring Framework behoben wurde und mit der Ausf\u00fchrung des ClassLoaders beim Parsen der Anforderungsparameter verbunden ist. <\/p>\n
Der Betrieb des Exploits besteht darin, eine Anfrage mit den Parametern \"class.module.classLoader.resources.context.parent.pipeline.first.*\" zu senden, deren Verarbeitung zur Erstellung einer JSP-Datei im Root-Umfeld von Apache Tomcat f\u00fchrt und in diese Datei den vom Angreifer angegebenen Code schreibt. Die erstellte Datei wird f\u00fcr direkte Anfragen zug\u00e4nglich und kann als Web-Shell verwendet werden. Um eine anf\u00e4llige Anwendung im Apache Tomcat-Umfeld anzugreifen, reicht es aus, eine Anfrage mit bestimmten Parametern \u00fcber das Tool curl zu senden. \n\n curl -v -d \"class.module.classLoader.resources.context.parent.pipeline.first.pattern=code_zum_einfuegen_in_datei &class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp &class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps\/ROOT &class.module.classLoader.resources.context.parent.pipeline.first.prefix=tomcatwar &class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=\" http:\/\/localhost:8080\/springmvc5-helloworld-exmaple-0.0.1-SNAPSHOT\/rapid7 <\/p>\n
Das betrachtete Problem in Spring Core sollte nicht mit den k\u00fcrzlich aufgedeckten Schwachstellen CVE-2022-22963 und CVE-2022-22950 verwechselt werden. Das erste Problem betrifft das Spring Cloud-Paket und wurde in den Versionen 3.1.7 und 3.2.3 behoben. Das zweite Problem ist in Spring Expression vorhanden und wurde in Spring Framework 5.3.17 korrigiert. Es handelt sich um grundlegend unterschiedliche Schwachstellen. Zu der neuen Schwachstelle haben die Entwickler des Spring Framework noch keine Stellungnahme abgegeben und keinen Fix ver\u00f6ffentlicht. <\/p>\n
Als vor\u00fcbergehende Ma\u00dfnahme zum Schutz wird empfohlen, im Code eine Liste unzul\u00e4ssiger Anfrageparameter zu verwenden: import org.springframework.core.Ordered; import org.springframework.core.annotation.Order; import org.springframework.web.bind.WebDataBinder; import org.springframework.web.bind.annotation.ControllerAdvice; import org.springframework.web.bind.annotation.InitBinder; @ControllerAdvice @Order(10000) public class BinderControllerAdvice { @InitBinder public void setAllowedFields(WebDataBinder dataBinder) { String[] denylist = new String[]{\"class.\", \"Class.\", \".class.\", \".Class.\"}; dataBinder.setDisallowedFields(denylist); } } \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"