{"id":103660,"date":"2022-03-31T09:36:38","date_gmt":"2022-03-31T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah"},"modified":"2022-03-31T09:36:38","modified_gmt":"2022-03-31T07:36:38","slug":"kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","title":{"rendered":"Kritieke 0-day kwetsbaarheid in Spring Framework, gebruikt in veel Java-projecten.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In de Spring Core-module, die wordt geleverd met het Spring Framework, is een kritieke 0-dagen kwetsbaarheid ontdekt, waarmee een niet-geauthenticeerde externe aanvaller zijn code op de server kan uitvoeren. Het is nog onduidelijk hoe catastrofaal de gevolgen van het ontdekte probleem kunnen zijn en of de aanvallen net zo massaal zullen zijn als in het geval van de kwetsbaarheid in Log4j 2. De kwetsbaarheid heeft de codenaam Spring4Shell gekregen, maar er is nog geen CVE-identificator toegewezen. In het Spring Framework blijft het probleem onopgelost en er zijn al verschillende werkende prototypes van exploits beschikbaar op het internet (1, 2, 3, 4). Het probleem wordt verergerd door het feit dat veel bedrijfs-Java-applicaties op basis van het Spring Framework met root-rechten worden uitgevoerd en de kwetsbaarheid de mogelijkheid biedt om het systeem volledig te compromitteren. <\/p>\n
Volgens sommige schattingen wordt de Spring Core-module gebruikt in 74% van de Java-applicaties. Het risico van de kwetsbaarheid wordt verminderd omdat alleen applicaties die de annotatie @RequestMapping gebruiken bij het aansluiten van request handlers en het binden van webformulierparameters in het formaat name=value (POJO, Plain Old Java Object) kwetsbaar zijn, in plaats van het gebruik van JSON\/XML. <\/p>\n
Welke specifieke Java-applicaties en frameworks kwetsbaar zijn, is nog onduidelijk. De kwetsbaarheid blokkeert het toevoegen van de velden 'class', 'module' en 'classLoader' aan de zwarte lijst, of het gebruik van een expliciete witte lijst van toegestane velden. Uitbuiting van de kwetsbaarheid is alleen mogelijk met Java\/JDK 9 of een nieuwere versie. Het probleem wordt veroorzaakt door de mogelijkheid om de bescherming tegen de kwetsbaarheid CVE-2010-1622 te omzeilen, die in 2010 in het Spring Framework is gecorrigeerd en verband houdt met de uitvoering van de classLoader-handler bij het parseren van requestparameters. <\/p>\n
De werking van de exploit bestaat uit het verzenden van een verzoek met de parameters 'class.module.classLoader.resources.context.parent.pipeline.first.*', waarvan de verwerking leidt tot het cre\u00ebren van een jsp-bestand in de rootomgeving van Apache Tomcat en het schrijven van de door de aanvaller opgegeven code in dat bestand. Het gemaakte bestand wordt toegankelijk voor directe verzoeken en kan worden gebruikt als web shell. Voor een aanval op een kwetsbare applicatie in de omgeving van Apache Tomcat is het voldoende om een verzoek met specifieke parameters te verzenden met behulp van de curl-tool. curl -v -d 'class.module.classLoader.resources.context.parent.pipeline.first.pattern=code_om_in_het_bestand_te_invoegen &class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp &class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps\/ROOT &class.module.classLoader.resources.context.parent.pipeline.first.prefix=tomcatwar &class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=' http:\/\/localhost:8080\/springmvc5-helloworld-exmaple-0.0.1-SNAPSHOT\/rapid7 <\/p>\n
Het probleem dat we in Spring Core bespreken, moet niet verward worden met de onlangs ontdekte kwetsbaarheden CVE-2022-22963 en CVE-2022-22950. Het eerste probleem heeft betrekking op het Spring Cloud-pakket en is verholpen in versies 3.1.7 en 3.2.3. Het tweede probleem is aanwezig in Spring Expression en is gecorrigeerd in Spring Framework 5.3.17. Dit zijn fundamenteel verschillende kwetsbaarheden. De ontwikkelaars van Spring Framework hebben nog geen verklaringen afgelegd of oplossingen gepubliceerd voor de nieuwe kwetsbaarheid. <\/p>\n
Als tijdelijke maatregel voor bescherming wordt aanbevolen om een zwarte lijst van ongeldige requestparameters in de code te gebruiken: import org.springframework.core.Ordered; import org.springframework.core.annotation.Order; import org.springframework.web.bind.WebDataBinder; import org.springframework.web.bind.annotation.ControllerAdvice; import org.springframework.web.bind.annotation.InitBinder; @ControllerAdvice @Order(10000) public class BinderControllerAdvice { @InitBinder public void setAllowedFields(WebDataBinder dataBinder) { String[] denylist = new String[]{'class.', 'Class.', '.class.', '.Class.'}; dataBinder.setDisallowedFields(denylist); } } \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"