{"id":103660,"date":"2022-03-31T09:36:38","date_gmt":"2022-03-31T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah"},"modified":"2022-03-31T09:36:38","modified_gmt":"2022-03-31T07:36:38","slug":"kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/news\/kriticheskaya-0-day-uyazvimost-v-spring-framework-primenyaemom-vo-mnogih-java-proektah","title":{"rendered":"Kriti\u010dna 0-day ranljivost v Spring Framework, ki se uporablja v mnogih Java projektih","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
V modulu Spring Core, ki je del ogrodja Spring Framework, je bila odkrita kriti\u010dna 0-day ranljivost, ki nepoobla\u0161\u010denemu oddaljenemu napadalcu omogo\u010da izvajanje svojega kode na stre\u017eniku. \u0160e ni jasno, kak\u0161ne katastrofalne posledice lahko prinese odkrita te\u017eava, in ali bodo napadi tako mno\u017ei\u010dni kot pri ranljivosti v Log4j 2. Ranljivosti je dodeljeno kodno ime Spring4Shell, vendar CVE-identifikator \u0161e ni dodeljen. V Spring Framework te\u017eava ostaja re\u0161ena in v omre\u017eju je \u017ee na voljo ve\u010d delujo\u010dih prototipov eksploitatov (1, 2, 3, 4). Te\u017eavo poslab\u0161a dejstvo, da mnoge korporativne Java-aplikacije, zgrajene na Spring Framework, delujejo s pravicami root, ranljivost pa omogo\u010da popolno kompromitacijo sistema. <\/p>\n
Po nekaterih ocenah se modul Spring Core uporablja v 74% Java aplikacij. Tveganje ranljivosti zmanj\u0161uje dejstvo, da so na napad izpostavljene samo aplikacije, ki uporabljajo anotacijo '@RequestMapping' pri povezovanju obdelovalcev zahtevkov in vezavi parametrov spletnih obrazcev v formatu 'name=value' (POJO, Plain Old Java Object), namesto uporabe JSON\/XML. <\/p>\n
Katera Java aplikacija in okviri so pravzaprav prizadeti, \u0161e ni jasno. Ranljivost blokira dodajanje v \u010drni seznam polj 'class', 'module' in 'classLoader' ali uporabo izrecnega belega seznama dovoljenih polj. Izkoristek ranljivosti je mogo\u010d le pri uporabi Java\/JDK 9 ali novej\u0161e razli\u010dice. Te\u017eava izhaja iz mo\u017enosti obvoda za\u0161\u010dite pred ranljivostjo CVE-2010-1622, ki je bila odpravljena v Spring Framework \u017ee leta 2010 in je povezana z izvajanjem obdelovalca classLoader ob obdelavi parametrov zahtevka. <\/p>\n
Delovanje eksploita je zmanj\u0161ano na po\u0161iljanje zahtevka s parametri 'class.module.classLoader.resources.context.parent.pipeline.first.*', katerih obdelava privede do ustvarjanja jsp datoteke v korenskem okolju Apache Tomcat in zapisovanja v to datoteko napisanega kode s strani napadalca. Ustvarjena datoteka postane dostopna za neposredne zahteve in se lahko uporablja kot spletna lupina. Za napad na ranljivo aplikacijo v okolju Apache Tomcat je dovolj, da po\u0161ljete zahtevo s dolo\u010denimi parametri z orodjem curl. curl -v -d 'class.module.classLoader.resources.context.parent.pipeline.first.pattern=koda_za_vstavitev_v_datoteko & class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp & class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps\/ROOT & class.module.classLoader.resources.context.parent.pipeline.first.prefix=tomcatwar & class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=>' http:\/\/localhost:8080\/springmvc5-helloworld-exmaple-0.0.1-SNAPSHOT\/rapid7 <\/p>\n
Obravnavane te\u017eave v Spring Core ne gre zamenjati z nedavno odkrito ranljivostjo CVE-2022-22963 in CVE-2022-22950. Prva te\u017eava zadeva paket Spring Cloud in je bila odpravljena v izdajah 3.1.7 in 3.2.3. Druga te\u017eava je prisotna v Spring Expression in je bila popravljena v Spring Framework 5.3.17. To so na\u010deloma druge ranljivosti. O novi ranljivosti razvijalci Spring Framework \u0161e niso izdali nobenih izjav in niso objavili popravkov. <\/p>\n
Kot za\u010dasni ukrep za za\u0161\u010dito se priporo\u010da uporaba \u010drnega seznama nedovoljenih parametrov zahtevka v kodi: import org.springframework.core.Ordered; import org.springframework.core.annotation.Order; import org.springframework.web.bind.WebDataBinder; import org.springframework.web.bind.annotation.ControllerAdvice; import org.springframework.web.bind.annotation.InitBinder; @ControllerAdvice @Order(10000) public class BinderControllerAdvice { @InitBinder public void setAllowedFields(WebDataBinder dataBinder) { String[] denylist = new String[]{'class.', 'Class.', '.class.', '.Class.'}; dataBinder.setDisallowedFields(denylist); } } \n Izvor: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"