{"id":103660,"date":"2022-03-31T09:36:38","date_gmt":"2022-03-31T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah"},"modified":"2022-03-31T09:36:38","modified_gmt":"2022-03-31T07:36:38","slug":"kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","title":{"rendered":"Vulnerabilidade cr\u00edtica 0-day no Spring Framework, utilizado em muitos projetos Java","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
No m\u00f3dulo Spring Core, inclu\u00eddo no framework Spring Framework, foi identificada uma vulnerabilidade cr\u00edtica 0-day que permite a um atacante remoto n\u00e3o autenticado executar seu c\u00f3digo no servidor. Ainda n\u00e3o est\u00e1 claro qu\u00e3o catastr\u00f3ficas podem ser as consequ\u00eancias do problema identificado e se os ataques ser\u00e3o t\u00e3o massivos quanto no caso da vulnerabilidade no Log4j 2. A vulnerabilidade foi batizada de Spring4Shell, mas ainda n\u00e3o foi atribu\u00eddo um identificador CVE. No Spring Framework, o problema permanece n\u00e3o corrigido, e j\u00e1 est\u00e3o dispon\u00edveis na rede v\u00e1rios prot\u00f3tipos funcionais de exploits (1, 2, 3, 4). A situa\u00e7\u00e3o \u00e9 agravada pelo fato de que muitas aplica\u00e7\u00f5es Java corporativas baseadas no Spring Framework s\u00e3o executadas com privil\u00e9gios de root, e a vulnerabilidade permite comprometer completamente o sistema. <\/p>\n
De acordo com algumas estimativas, o m\u00f3dulo Spring Core \u00e9 utilizado em 74% dos aplicativos Java. O perigo da vulnerabilidade \u00e9 reduzido pelo fato de que apenas os aplicativos que usam a anota\u00e7\u00e3o \"@RequestMapping\" ao conectar manipuladores de solicita\u00e7\u00f5es e a vincula\u00e7\u00e3o de par\u00e2metros de formul\u00e1rios da web no formato \"name=value\" (POJO, Plain Old Java Object) est\u00e3o suscet\u00edveis, em vez de aplicar JSON\/XML. <\/p>\n
Ainda n\u00e3o est\u00e1 claro quais aplicativos e estruturas Java est\u00e3o exatamente suscet\u00edveis ao problema. A vulnerabilidade impede a adi\u00e7\u00e3o \u00e0 lista negra dos campos \"class\", \"module\" e \"classLoader\" ou o uso de uma lista branca expl\u00edcita de campos permitidos. A explora\u00e7\u00e3o da vulnerabilidade \u00e9 poss\u00edvel apenas ao usar o Java\/JDK 9 ou uma vers\u00e3o mais recente. O problema \u00e9 causado pela capacidade de contornar a prote\u00e7\u00e3o contra a vulnerabilidade CVE-2010-1622, corrigida no Spring Framework em 2010 e relacionada \u00e0 execu\u00e7\u00e3o do manipulador classLoader ao analisar os par\u00e2metros da solicita\u00e7\u00e3o. <\/p>\n
O funcionamento do exploit se resume ao envio de uma solicita\u00e7\u00e3o com os par\u00e2metros \"class.module.classLoader.resources.context.parent.pipeline.first.*\", cujo processamento resulta na cria\u00e7\u00e3o de um arquivo jsp no ambiente raiz do Apache Tomcat e na grava\u00e7\u00e3o nesse arquivo do c\u00f3digo especificado pelo atacante. O arquivo criado se torna acess\u00edvel a solicita\u00e7\u00f5es diretas e pode ser usado como um web shell. Para atacar uma aplica\u00e7\u00e3o vulner\u00e1vel no ambiente Apache Tomcat, basta enviar uma solicita\u00e7\u00e3o com par\u00e2metros espec\u00edficos usando a ferramenta curl. curl -v -d \"class.module.classLoader.resources.context.parent.pipeline.first.pattern=c\u00f3digo_para_inserir_no_arquivo &class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp &class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps\/ROOT &class.module.classLoader.resources.context.parent.pipeline.first.prefix=tomcatwar &class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat= \" http:\/\/localhost:8080\/springmvc5-helloworld-exmaple-0.0.1-SNAPSHOT\/rapid7 <\/p>\n
O problema em discuss\u00e3o no Spring Core n\u00e3o deve ser confundido com as vulnerabilidades recentemente identificadas CVE-2022-22963 e CVE-2022-22950. O primeiro problema afeta o pacote Spring Cloud e foi corrigido nas vers\u00f5es 3.1.7 e 3.2.3. O segundo problema est\u00e1 presente no Spring Expression e foi solucionado no Spring Framework 5.3.17. Trata-se de vulnerabilidades fundamentalmente diferentes. Os desenvolvedores do Spring Framework ainda n\u00e3o se pronunciaram sobre a nova vulnerabilidade nem publicaram uma corre\u00e7\u00e3o. <\/p>\n
Como medida tempor\u00e1ria de prote\u00e7\u00e3o, recomenda-se usar no c\u00f3digo uma lista negra de par\u00e2metros de solicita\u00e7\u00e3o inv\u00e1lidos: import org.springframework.core.Ordered; import org.springframework.core.annotation.Order; import org.springframework.web.bind.WebDataBinder; import org.springframework.web.bind.annotation.ControllerAdvice; import org.springframework.web.bind.annotation.InitBinder; @ControllerAdvice @Order(10000) public class BinderControllerAdvice { @InitBinder public void setAllowedFields(WebDataBinder dataBinder) { String[] denylist = new String[]{\"class.\", \"Class.\", \".class.\", \".Class.\"}; dataBinder.setDisallowedFields(denylist); } } \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"