{"id":103660,"date":"2022-03-31T09:36:38","date_gmt":"2022-03-31T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah"},"modified":"2022-03-31T09:36:38","modified_gmt":"2022-03-31T07:36:38","slug":"kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","title":{"rendered":"Vulnerabilit\u00e0 critiche 0-day nel Spring Framework, utilizzato in molti progetti Java","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata individuata una vulnerabilit\u00e0 critica 0-day nel modulo Spring Core, fornito all'interno del framework Spring Framework, che consente a un attaccante remoto non autenticato di eseguire codice sul server. Al momento non \u00e8 chiaro quanto possano essere catastrofiche le conseguenze di questo problema e se gli attacchi saranno altrettanto massicci come nel caso della vulnerabilit\u00e0 di Log4j 2. La vulnerabilit\u00e0 \u00e8 stata soprannominata Spring4Shell, ma non \u00e8 stato ancora assegnato un identificatore CVE. Nel Spring Framework, il problema resta irrisolto e sono gi\u00e0 disponibili in rete diversi prototipi funzionanti di exploit (1, 2, 3, 4). La questione \u00e8 aggravata dal fatto che molte applicazioni Java aziendali basate su Spring Framework vengono eseguite con privilegi di root, e la vulnerabilit\u00e0 consente di compromettere completamente il sistema. <\/p>\n
Secondo alcune stime, il modulo Spring Core \u00e8 utilizzato nel 74% delle applicazioni Java. Il pericolo dell' vulnerabilit\u00e0 \u00e8 ridotto dal fatto che sono vulnerabili solo le applicazioni che utilizzano l'annotazione «@RequestMapping» durante la connessione dei gestori delle richieste e il binding dei parametri delle web form nel formato «name=value» (POJO, Plain Old Java Object), invece dell'uso di JSON\/XML. <\/p>\n
Non \u00e8 ancora chiaro quali applicazioni e framework Java siano specificamente colpiti da questo problema. La vulnerabilit\u00e0 impedisce di aggiungere ai blacklist i campi «class», «module» e «classLoader» o di utilizzare un'esplicita whitelist dei campi consentiti. Sfruttare la vulnerabilit\u00e0 \u00e8 possibile solo utilizzando Java\/JDK 9 o versioni pi\u00f9 recenti. Il problema \u00e8 causato dalla possibilit\u00e0 di eludere la protezione contro la vulnerabilit\u00e0 CVE-2010-1622, corretta nel Spring Framework nel 2010, e correlata all\u2019esecuzione del gestore classLoader durante l'analisi dei parametri della richiesta. <\/p>\n
Il funzionamento dell'exploit consiste nell'inviare una richiesta con i parametri \u00abclass.module.classLoader.resources.context.parent.pipeline.first.*\u00bb, il cui trattamento porta alla creazione di un file JSP nella root dell'ambiente Apache Tomcat, registrando in questo file il codice specificato dall'attaccante. Il file creato diventa accessibile per richieste dirette e pu\u00f2 essere utilizzato come web shell. Per attaccare un'applicazione vulnerabile nell'ambiente Apache Tomcat, \u00e8 sufficiente inviare una richiesta con determinati parametri utilizzando l'utilit\u00e0 curl. curl -v -d \u00abclass.module.classLoader.resources.context.parent.pipeline.first.pattern=codice_da_inserire_nel_file & class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp & class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps\/ROOT & class.module.classLoader.resources.context.parent.pipeline.first.prefix=tomcatwar & class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=\u00bb http:\/\/localhost:8080\/springmvc5-helloworld-exmaple-0.0.1-SNAPSHOT\/rapid7 <\/p>\n
Il problema discusso in Spring Core non deve essere confuso con le vulnerabilit\u00e0 recentemente scoperte CVE-2022-22963 e CVE-2022-22950. La prima vulnerabilit\u00e0 riguarda il pacchetto Spring Cloud ed \u00e8 stata risolta nelle versioni 3.1.7 e 3.2.3. La seconda vulnerabilit\u00e0 \u00e8 presente in Spring Expression ed \u00e8 stata corretta in Spring Framework 5.3.17. Si tratta di vulnerabilit\u00e0 completamente diverse. Gli sviluppatori di Spring Framework non hanno ancora rilasciato dichiarazioni sulla nuova vulnerabilit\u00e0 n\u00e9 pubblicato una correzione. <\/p>\n
Come misura temporanea di protezione, si consiglia di utilizzare nel codice una blacklist di parametri di richiesta non consentiti: import org.springframework.core.Ordered; import org.springframework.core.annotation.Order; import org.springframework.web.bind.WebDataBinder; import org.springframework.web.bind.annotation.ControllerAdvice; import org.springframework.web.bind.annotation.InitBinder; @ControllerAdvice @Order(10000) public class BinderControllerAdvice { @InitBinder public void setAllowedFields(WebDataBinder dataBinder) { String[] denylist = new String[]{\"class.\", \"Class.\", \".class.\", \".Class.\"}; dataBinder.setDisallowedFields(denylist); } } \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"