{"id":103660,"date":"2022-03-31T09:36:38","date_gmt":"2022-03-31T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah"},"modified":"2022-03-31T09:36:38","modified_gmt":"2022-03-31T07:36:38","slug":"kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","title":{"rendered":"Kriitiline 0-p\u00e4eva haavatavus Spring Frameworkis, mida kasutatakse paljudes Java projektides","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Spring Frameworki komponent Spring Core'il on tuvastatud kriitiline 0-p\u00e4eva haavatavus, mis v\u00f5imaldab autentimata kaugr\u00fcnnakutel k\u00e4ivitada oma koodi serveris. Praegu ei ole selge, kui katastroofilised v\u00f5ivad olla avastatud probleemi tagaj\u00e4rjed ja kas r\u00fcnnakud v\u00f5ivad olla sama massilised kui Log4j 2 haavatavuse puhul. Haavatavusele on antud koodnimi Spring4Shell, kuid CVE-identifikaatorit ei ole veel m\u00e4\u00e4ratud. Spring Frameworkis j\u00e4\u00e4b probleem parandamata ja internetis on juba saadaval mitu t\u00f6\u00f6tavat eksploiti (1, 2, 3, 4). Probleemi teravdab asjaolu, et paljud ettev\u00f5tte Java-rakendused, mis tuginevad Spring Frameworkile, t\u00f6\u00f6tavad root-\u00f5igustega ning haavatavus v\u00f5imaldab s\u00fcsteemi t\u00e4ielikku kompromiteerimist. <\/p>\n
M\u00f5ningate hinnangute kohaselt kasutatakse Spring Core moodulit 74% Java rakendustest. Haavatavuse ohtu v\u00e4hendab see, et r\u00fcnnaku alla satuvad ainult need rakendused, mis kasutavad annotatsiooni «@RequestMapping» p\u00e4ringute t\u00f6\u00f6tlejate \u00fchendamisel ja veebivormide parameetrite sidumisel formaadis «name=value» (POJO, Plain Old Java Object), mitte JSON\/XML-i kasutamisel. <\/p>\n
Millised konkreetsed Java rakendused ja raamistikud sellele probleemile alluvad, ei ole veel selge. Haavatavus blokeerib klasside «class», «module» ja «classLoader» lisamise musta nimekirja v\u00f5i lubatud v\u00e4ljade selge valge nimekirja kasutamise. Haavatavuse \u00e4rakasutamine on v\u00f5imalik ainult Java\/JDK 9 v\u00f5i uuemas versioonis. Probleem on p\u00f5hjustatud haavatavuse CVE-2010-1622 kaitse j\u00e4\u00e4gidest, mis parandati Spring Frameworkis juba 2010. aastal ja mis on seotud classLoader t\u00f6\u00f6tleja t\u00e4itmisega p\u00e4ringu parameetrite anal\u00fc\u00fcsimisel. <\/p>\n
Eksploite t\u00f6\u00f6tamine seisneb p\u00e4ringu saatmises parameetritega «class.module.classLoader.resources.context.parent.pipeline.first.*», mille t\u00f6\u00f6tlemine toob kaasa jsp-faili loomise Apache Tomcat'i juurkeskkonnas ja r\u00fcndaja m\u00e4\u00e4ratud koodi salvestamise sellesse faili. Loodud fail muutub otsep\u00e4ringute jaoks kergesti ligip\u00e4\u00e4setavaks ja seda saab kasutada veebikorpuses. R\u00fcndamiseks haavatava rakenduse vastu Apache Tomcat'i keskkonnas piisab, kui saata p\u00e4ring, millel on kindlad parameetrid, kasutades utiliiti curl. curl -v -d «class.module.classLoader.resources.context.parent.pipeline.first.pattern=faili_sisse_lisatud_kood &class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp &class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps\/ROOT &class.module.classLoader.resources.context.parent.pipeline.first.prefix=tomcatwar &class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=» http:\/\/localhost:8080\/springmvc5-helloworld-exmaple-0.0.1-SNAPSHOT\/rapid7 <\/p>\n
Spring Core'i arutatud probleemi ei tohi segamini ajada hiljuti tuvastatud haavatavustega CVE-2022-22963 ja CVE-2022-22950. Esimene probleem puudutab paketti Spring Cloud ning on k\u00f5rvaldatud versioonides 3.1.7 ja 3.2.3. Teine probleem leidub Spring Expression'is ja on parandatud Spring Framework'is 5.3.17. Need on p\u00f5him\u00f5tteliselt erinevad haavatavused. Spring Framework'i arendajad pole veel uudse haavatavuse kohta teateid andnud ega avaldanud parandust. <\/p>\n
Ajutava meetmena kaitse jaoks soovitatakse kasutada koodis musta nimekirja lubamatutest p\u00e4ringuparameetritest: import org.springframework.core.Ordered; import org.springframework.core.annotation.Order; import org.springframework.web.bind.WebDataBinder; import org.springframework.web.bind.annotation.ControllerAdvice; import org.springframework.web.bind.annotation.InitBinder; @ControllerAdvice @Order(10000) public class BinderControllerAdvice { @InitBinder public void setAllowedFields(WebDataBinder dataBinder) { String[] denylist = new String[]{\"class.\", \"Class.\", \".class.\", \".Class.\"}; dataBinder.setDisallowedFields(denylist); } } \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"