Une vuln\u00e9rabilit\u00e9 critique de type 0-day a \u00e9t\u00e9 identifi\u00e9e dans le module Spring Core, inclus dans le framework Spring Framework, permettant \u00e0 un attaquant distant non authentifi\u00e9 d'ex\u00e9cuter son code sur le serveur. Il n'est pas encore clair quelles pourraient \u00eatre les cons\u00e9quences catastrophiques de ce probl\u00e8me et si les attaques seront aussi massives que celles li\u00e9es \u00e0 la vuln\u00e9rabilit\u00e9 de Log4j 2. La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 surnomm\u00e9e Spring4Shell, mais aucun identifiant CVE n'a encore \u00e9t\u00e9 attribu\u00e9. Dans Spring Framework, le probl\u00e8me demeure non corrig\u00e9 et plusieurs prototypes d'exploits fonctionnels sont d\u00e9j\u00e0 disponibles sur le Web (1, 2, 3, 4). La situation est aggrav\u00e9e par le fait que de nombreuses applications Java d'entreprise bas\u00e9es sur Spring Framework s'ex\u00e9cutent avec des privil\u00e8ges root, et la vuln\u00e9rabilit\u00e9 permet de compromettre compl\u00e8tement le syst\u00e8me. <\/p>\n
Selon certaines estimations, le module Spring Core est utilis\u00e9 dans 74 % des applications Java. Le danger de cette vuln\u00e9rabilit\u00e9 est att\u00e9nu\u00e9 par le fait que seules les applications utilisant l'annotation @RequestMapping lors de la connexion des gestionnaires de requ\u00eates et la liaison des param\u00e8tres des formulaires web au format name=value (POJO, Plain Old Java Object) sont concern\u00e9es, plut\u00f4t que celles utilisant JSON\/XML. <\/p>\n
Il n'est pas encore clair quelles applications Java et quels frameworks sont concern\u00e9s par ce probl\u00e8me. La vuln\u00e9rabilit\u00e9 emp\u00eache l'ajout des champs class, module et classLoader \u00e0 une liste noire ou l'utilisation explicite d'une liste blanche de champs autoris\u00e9s. L'exploitation de la vuln\u00e9rabilit\u00e9 est possible uniquement avec Java\/JDK 9 ou une version plus r\u00e9cente. Ce probl\u00e8me est caus\u00e9 par la possibilit\u00e9 de contourner la protection contre la vuln\u00e9rabilit\u00e9 CVE-2010-1622, corrig\u00e9e dans Spring Framework en 2010 et li\u00e9e \u00e0 l'ex\u00e9cution du gestionnaire classLoader lors de l'analyse des param\u00e8tres de la requ\u00eate. <\/p>\n
Le fonctionnement de l'exploit consiste \u00e0 envoyer une requ\u00eate avec les param\u00e8tres class.module.classLoader.resources.context.parent.pipeline.first.*, dont le traitement entra\u00eene la cr\u00e9ation d'un fichier jsp dans le r\u00e9pertoire racine d'Apache Tomcat et l'\u00e9criture dans ce fichier du code sp\u00e9cifi\u00e9 par l'attaquant. Le fichier cr\u00e9\u00e9 devient accessible pour des requ\u00eates directes et peut \u00eatre utilis\u00e9 comme un web shell. Pour attaquer une application vuln\u00e9rable dans un environnement Apache Tomcat, il suffit d'envoyer une requ\u00eate avec des param\u00e8tres sp\u00e9cifiques \u00e0 l'aide de l'outil curl. curl -v -d \"class.module.classLoader.resources.context.parent.pipeline.first.pattern=code_\u00e0_ins\u00e9rer_dans_le_fichier & class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp & class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps\/ROOT & class.module.classLoader.resources.context.parent.pipeline.first.prefix=tomcatwar & class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat= \" http:\/\/localhost:8080\/springmvc5-helloworld-exmaple-0.0.1-SNAPSHOT\/rapid7 <\/p>\n
Le probl\u00e8me discut\u00e9 dans Spring Core ne doit pas \u00eatre confondu avec les vuln\u00e9rabilit\u00e9s r\u00e9cemment d\u00e9couvertes CVE-2022-22963 et CVE-2022-22950. Le premier probl\u00e8me concerne le package Spring Cloud et a \u00e9t\u00e9 corrig\u00e9 dans les versions 3.1.7 et 3.2.3. Le second probl\u00e8me existe dans Spring Expression et a \u00e9t\u00e9 corrig\u00e9 dans Spring Framework 5.3.17. Ce sont des vuln\u00e9rabilit\u00e9s fondamentalement diff\u00e9rentes. Concernant la nouvelle vuln\u00e9rabilit\u00e9, les d\u00e9veloppeurs de Spring Framework n'ont pas encore fait d'annonces ni publi\u00e9 de correctif. <\/p>\n