{"id":103660,"date":"2022-03-31T09:36:38","date_gmt":"2022-03-31T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah"},"modified":"2022-03-31T09:36:38","modified_gmt":"2022-03-31T07:36:38","slug":"kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","title":{"rendered":"Kriitiline 0-day haavatavus Spring Frameworkis, mida kasutatakse paljusid Java projekte","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Spring Frameworki Spring Core moodulis leiti kriitiline 0-p\u00e4ev haavatavus, mis v\u00f5imaldab autentimata kaugr\u00fcnnaku kaudu r\u00fcndajal k\u00e4ivitada oma koodi serveris. Praegu ei ole selge, kui katastroofilised v\u00f5ivad olla tuvastatud probleemi tagaj\u00e4rjed ning kas r\u00fcnnakud v\u00f5ivad olla sama massilised kui Log4j 2 haavatavuse puhul. Haavatusele on antud koodnimi Spring4Shell, kuid CVE-ID pole veel m\u00e4\u00e4ratud. Spring Frameworkis j\u00e4\u00e4b probleem lahendamata ja internetis on juba saadaval mitu t\u00f6\u00f6tavat protot\u00fc\u00fcpi eksploididest (1, 2, 3, 4). Probleemi s\u00fcvendab see, et paljud ettev\u00f5tte Java rakendused, mis p\u00f5hinevad Spring Frameworkil, t\u00f6\u00f6tavad root \u00f5igustes ja haavatavus v\u00f5imaldab s\u00fcsteemi t\u00e4ielikku kompromiteerimist. <\/p>\n
M\u00f5nede hinnangute kohaselt kasutatakse Spring Core moodulit 74% Java-rakendustest. Ohtude haavatavust v\u00e4hendab see, et r\u00fcnnaku alla on ainult rakendused, mis kasutavad annotatsiooni @RequestMapping p\u00e4ringute t\u00f6\u00f6tlejate \u00fchendamisel ning veebivormide parameetrite seondamisel vormingus name=value (POJO, Plain Old Java Object), mitte JSON\/XML-i kasutamisega. <\/p>\n
Mis t\u00e4pselt Java-rakendused ja raamistikud probleemi all kannatavad, ei ole veel selge. Haavatavus blokeerib meetodite class, module ja classLoader lisamist musta nimekirja v\u00f5i lubatud v\u00e4ljade selget valget nimekirja kasutamist. Haavatavuse \u00e4rakasutamine on v\u00f5imalik ainult Java\/JDK 9 v\u00f5i uuema versiooni kasutamisel. Probleem tuleneb haavatavuse CVE-2010-1622 kaitse m\u00f6\u00f6das\u00f5idust, mis parandati Spring Frameworkis juba 2010. aastal ja mis oli seotud classLoaderi t\u00f6\u00f6tleja t\u00e4itmisega p\u00e4ringu parameetrite anal\u00fc\u00fcsimisel. <\/p>\n
Eksploaidi t\u00f6\u00f6 p\u00f5him\u00f5te seisneb p\u00e4ringu saatmises parameetritega class.module.classLoader.resources.context.parent.pipeline.first.*, mille t\u00f6\u00f6tlemine toob kaasa jsp-faili loomise Apache Tomcat'i juures ning selle faili kirjutamise r\u00fcndaja m\u00e4\u00e4ratud koodiga. Loodud fail muutub otseste p\u00e4ringute jaoks kergesti \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b\u043c ja seda saab kasutada veebiserveri shellina. Haavatava rakenduse r\u00fcndamiseks Apache Tomcat'i keskkonnas piisab, kui saata p\u00e4ringu teatud parameetritega curl t\u00f6\u00f6riista abil. curl -v -d 'class.module.classLoader.resources.context.parent.pipeline.first.pattern=insert_code_here & class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp & class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps\/ROOT & class.module.classLoader.resources.context.parent.pipeline.first.prefix=tomcatwar & class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=' http:\/\/localhost:8080\/springmvc5-helloworld-exmaple-0.0.1-SNAPSHOT\/rapid7 <\/p>\n
K\u00e4sitletavat probleemi Spring Core'is ei tohiks segi ajada hiljuti avastatud haavatavustega CVE-2022-22963 ja CVE-2022-22950. Esimene probleem puudutab Spring Cloud paketti ja on k\u00f5rvaldatud v\u00e4ljaannetes 3.1.7 ja 3.2.3. Teine probleem on olemas Spring Expression'is ja on parandatud Spring Framework'is 5.3.17. Need on p\u00f5him\u00f5tteliselt erinevad haavatavused. Uue haavatavuse kohta pole Spring Framework'i arendajatel veel \u00fchtegi avaldust tehtud ega parandust v\u00e4lja antud. <\/p>\n
Ajutise meetmena kaitseks soovitatakse koodis kasutada musta nimekirja lubamatute p\u00e4ringute parameetrite jaoks: import org.springframework.core.Ordered; import org.springframework.core.annotation.Order; import org.springframework.web.bind.WebDataBinder; import org.springframework.web.bind.annotation.ControllerAdvice; import org.springframework.web.bind.annotation.InitBinder; @ControllerAdvice @Order(10000) public class BinderControllerAdvice { @InitBinder public void setAllowedFields(WebDataBinder dataBinder) { String[] denylist = new String[]{'class.', 'Class.', '.class.', '.Class.'}; dataBinder.setDisallowedFields(denylist); } } \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"