{"id":103660,"date":"2022-03-31T09:36:38","date_gmt":"2022-03-31T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah"},"modified":"2022-03-31T09:36:38","modified_gmt":"2022-03-31T07:36:38","slug":"kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","title":{"rendered":"Kritische 0-Day-Sicherheitsanf\u00e4lligkeit im Spring Framework, das in vielen Java-Projekten verwendet wird.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im Modul Spring Core, das Teil des Spring Frameworks ist, wurde eine kritische 0-Day-Sicherheitsl\u00fccke entdeckt, die einem nicht authentifizierten Remote-Angreifer erm\u00f6glicht, seinen Code auf dem Server auszuf\u00fchren. Es ist noch unklar, wie katastrophal die Folgen des entdeckten Problems sein k\u00f6nnten und ob die Angriffe ebenso massenhaft sein werden wie im Fall der Schwachstelle in Log4j 2. Die Schwachstelle tr\u00e4gt den Codenamen Spring4Shell, ein CVE-Identifikator wurde jedoch bisher nicht vergeben. Im Spring Framework bleibt das Problem unbereinigt und im Internet sind bereits mehrere funktionierende Prototypen von Exploits verf\u00fcgbar (1, 2, 3, 4). Das Problem wird versch\u00e4rft durch die Tatsache, dass viele Unternehmens-Java-Anwendungen, die auf Spring Framework basieren, mit Root-Rechten ausgef\u00fchrt werden und die Schwachstelle es erm\u00f6glicht, das System vollst\u00e4ndig zu kompromittieren. <\/p>\n
Nach Sch\u00e4tzungen wird das Spring Core-Modul in 74 % der Java-Anwendungen verwendet. Die Gefahr der Schwachstelle wird dadurch verringert, dass nur Anwendungen, die die Annotation \u00ab@RequestMapping\u00bb zur Anbindung von Request-Handlern und zur Bindung von Web-Formularparametern im Format \u00abname=value\u00bb (POJO, Plain Old Java Object) verwenden, betroffen sind, anstelle von JSON\/XML. <\/p>\n
Welche spezifischen Java-Anwendungen und Frameworks von dem Problem betroffen sind, ist noch unklar. Die Schwachstelle verhindert das Hinzuf\u00fcgen der Felder \u00abclass\u00bb, \u00abmodule\u00bb und \u00abclassLoader\u00bb zur Blacklist oder die Verwendung einer expliziten Whitelist erlaubter Felder. Die Ausnutzung der Schwachstelle ist nur mit Java\/JDK 9 oder einer neueren Version m\u00f6glich. Das Problem wird durch die M\u00f6glichkeit verursacht, den Schutz vor der Schwachstelle CVE-2010-1622 zu umgehen, die bereits 2010 im Spring Framework behoben wurde und mit der Ausf\u00fchrung des classLoader-Handlers beim Parsen von Anfrageparametern verbunden ist. <\/p>\n
Die Funktionsweise des Exploits besteht darin, eine Anfrage mit den Parametern \u00abclass.module.classLoader.resources.context.parent.pipeline.first.*\u00bb zu senden, deren Verarbeitung zur Erstellung einer JSP-Datei im Stammverzeichnis von Apache Tomcat f\u00fchrt und den vom Angreifer angegebenen Code in diese Datei schreibt. Die erstellte Datei wird f\u00fcr direkte Anfragen zug\u00e4nglich und kann als Web-Shell verwendet werden. Um eine verwundbare Anwendung in der Umgebung von Apache Tomcat anzugreifen, reicht es aus, eine Anfrage mit bestimmten Parametern \u00fcber das curl-Utility zu senden. curl -v -d \u00abclass.module.classLoader.resources.context.parent.pipeline.first.pattern=code_to_insert_into_file &class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp &class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps\/ROOT &class.module.classLoader.resources.context.parent.pipeline.first.prefix=tomcatwar &class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=\u00bb http:\/\/localhost:8080\/springmvc5-helloworld-exmaple-0.0.1-SNAPSHOT\/rapid7 <\/p>\n
Das vorliegende Problem in Spring Core sollte nicht mit den k\u00fcrzlich entdeckten Schwachstellen CVE-2022-22963 und CVE-2022-22950 verwechselt werden. Das erste Problem betrifft das Paket Spring Cloud und wurde in den Versionen 3.1.7 und 3.2.3 behoben. Das zweite Problem ist in Spring Expression vorhanden und wurde in Spring Framework 5.3.17 behoben. Dies sind grunds\u00e4tzlich andere Schwachstellen. Zu der neuen Schwachstelle haben die Entwickler des Spring Framework noch keine Stellungnahme abgegeben und kein Update ver\u00f6ffentlicht. <\/p>\n
Als vor\u00fcbergehende Ma\u00dfnahme zum Schutz wird empfohlen, im Code eine Blacklist ung\u00fcltiger Anfrageparameter zu verwenden: import org.springframework.core.Ordered; import org.springframework.core.annotation.Order; import org.springframework.web.bind.WebDataBinder; import org.springframework.web.bind.annotation.ControllerAdvice; import org.springframework.web.bind.annotation.InitBinder; @ControllerAdvice @Order(10000) public class BinderControllerAdvice { @InitBinder public void setAllowedFields(WebDataBinder dataBinder) { String[] denylist = new String[]{\u00abclass.\u00bb, \u00abClass.\u00bb, \u00ab.class.\u00bb, \u00ab.Class.\u00bb}; dataBinder.setDisallowedFields(denylist); } } \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"