{"id":103660,"date":"2022-03-31T09:36:38","date_gmt":"2022-03-31T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah"},"modified":"2022-03-31T09:36:38","modified_gmt":"2022-03-31T07:36:38","slug":"kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","title":{"rendered":"Krytyczna luka 0-day w Spring Framework, stosowanym w wielu projektach Java","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
W module Spring Core, dostarczanym w ramach Spring Framework, zidentyfikowano krytyczn\u0105 luk\u0119 0-day, kt\u00f3ra pozwala nieautoryzowanemu atakuj\u0105cemu zdalnie wykona\u0107 sw\u00f3j kod na serwerze. Na razie nie jest jasne, jak katastrofalne mog\u0105 by\u0107 skutki odkrytej usterki i czy ataki b\u0119d\u0105 tak masowe, jak w przypadku luki w Log4j 2. Usterce nadano kodow\u0105 nazw\u0119 Spring4Shell, ale identyfikator CVE nie zosta\u0142 jeszcze przypisany. W Spring Framework problem pozostaje nierozwi\u0105zany, a w sieci dost\u0119pnych jest ju\u017c kilka dzia\u0142aj\u0105cych prototyp\u00f3w exploit\u00f3w (1, 2, 3, 4). Sytuacj\u0119 pogarsza to, \u017ce wiele korporacyjnych aplikacji Java opartych na Spring Framework dzia\u0142a z uprawnieniami roota, a luka umo\u017cliwia ca\u0142kowite skompromitowanie systemu. <\/p>\n
Wed\u0142ug niekt\u00f3rych szacunk\u00f3w modu\u0142 Spring Core jest u\u017cywany w 74% aplikacji Java. Niebezpiecze\u0144stwo tej podatno\u015bci jest zmniejszone, poniewa\u017c atakowane s\u0105 tylko aplikacje, kt\u00f3re wykorzystuj\u0105 adnotacj\u0119 @RequestMapping przy pod\u0142\u0105czaniu obs\u0142ugiwaczy \u017c\u0105da\u0144 oraz wi\u0105zaniu parametr\u00f3w formularzy webowych w formacie name=value (POJO, Plain Old Java Object), zamiast stosowania JSON\/XML. <\/p>\n
Nie jest jeszcze jasne, kt\u00f3re aplikacje i frameworki Java s\u0105 podatne na ten problem. Ta podatno\u015b\u0107 blokuje dodawanie do czarnej listy p\u00f3l class, module i classLoader oraz korzystanie z jawnej bia\u0142ej listy dozwolonych p\u00f3l. Eksploatacja podatno\u015bci jest mo\u017cliwa tylko przy u\u017cyciu Java\/JDK 9 lub nowszej wersji. Problem wynika z mo\u017cliwo\u015bci obej\u015bcia zabezpiecze\u0144 przed podatno\u015bci\u0105 CVE-2010-1622, kt\u00f3ra zosta\u0142a naprawiona w Spring Framework ju\u017c w 2010 roku i dotyczy\u0142a wykonania obs\u0142ugiwacza classLoader podczas analizy parametr\u00f3w \u017c\u0105dania. <\/p>\n
Dzia\u0142anie exploita polega na wys\u0142aniu \u017c\u0105dania z parametrami class.module.classLoader.resources.context.parent.pipeline.first.*, kt\u00f3rych przetwarzanie prowadzi do stworzenia pliku jsp w g\u0142\u00f3wnym \u015brodowisku Apache Tomcat i zapisania w tym pliku wskazanego przez atakuj\u0105cego kodu. Stworzony plik staje si\u0119 dost\u0119pny dla bezpo\u015brednich \u017c\u0105da\u0144 i mo\u017ce by\u0107 u\u017cywany jako shell webowy. Aby zaatakowa\u0107 podatn\u0105 aplikacj\u0119 w \u015brodowisku Apache Tomcat, wystarczy wys\u0142a\u0107 \u017c\u0105danie z okre\u015blonymi parametrami przy u\u017cyciu narz\u0119dzia curl. curl -v -d 'class.module.classLoader.resources.context.parent.pipeline.first.pattern=kod_do_wstawienia_do_pliku & class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp & class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps\/ROOT & class.module.classLoader.resources.context.parent.pipeline.first.prefix=tomcatwar & class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=>' http:\/\/localhost:8080\/springmvc5-helloworld-exmaple-0.0.1-SNAPSHOT\/rapid7 <\/p>\n
Opisywanego problemu w Spring Core nie nale\u017cy myli\u0107 z nowo odkrytymi lukami CVE-2022-22963 i CVE-2022-22950. Pierwszy problem dotyczy pakietu Spring Cloud i zosta\u0142 usuni\u0119ty w wydaniach 3.1.7 i 3.2.3. Drugi problem wyst\u0119puje w Spring Expression i zosta\u0142 naprawiony w Spring Framework 5.3.17. To zupe\u0142nie inne podatno\u015bci. W kwestii nowej luki deweloperzy Spring Framework jeszcze nie wydali \u017cadnych o\u015bwiadcze\u0144 ani nie opublikowali poprawki. <\/p>\n
Jako tymczasowe zabezpieczenie zaleca si\u0119 u\u017cywanie w kodzie czarnej listy niedozwolonych parametr\u00f3w \u017c\u0105dania: import org.springframework.core.Ordered; import org.springframework.core.annotation.Order; import org.springframework.web.bind.WebDataBinder; import org.springframework.web.bind.annotation.ControllerAdvice; import org.springframework.web.bind.annotation.InitBinder; @ControllerAdvice @Order(10000) public class BinderControllerAdvice { @InitBinder public void setAllowedFields(WebDataBinder dataBinder) { String[] denylist = new String[]{ 'class.', 'Class.', '.class.', '.Class.' }; dataBinder.setDisallowedFields(denylist); } } \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"