Une vulnérabilité d'exécution de code à distance de type zero-day, d'une gravité critique, a été identifiée sous la référence CVE-2022-22965, également connue sous le nom de Spring4Shell ou SpringShell, dans les versions 5.3.0 à 5.3.17, 5.2.0 à 5.2.19 et antérieures du framework Spring.
Spring Framework est un framework applicatif open source, populaire et riche en fonctionnalités, utilisé pour créer des applications web Java modernes et professionnelles. Les failles de sécurité accessibles au public dans ce framework largement utilisé le rendent très dangereux.
Pourquoi la vulnérabilité CVE-2022-22965 « Spring4Shell » est-elle si dangereuse ?
Les applications Spring Framework, SpringMVC ou Spring WebFlux invulnérables exécutées sur JDK 9 ou version ultérieure sont sujettes à l'exécution de code à distance via la liaison de données. Cette vulnérabilité est due à une mauvaise gestion des propriétés de classe Java, qui exploite l'injection de classe. Parallèlement, la liaison d'entrée HTTP et une requête HTTP spécialement conçue pourraient conduire à une attaque par exécution de code à distance et compromettre l'application Java Spring sans nécessiter d'authentification.
Selon l'avis du fournisseur, « Si l'application est déployée sous forme de fichier JAR exécutable Spring Boot (c'est-à-dire par défaut), elle n'est pas vulnérable à l'exploitation. Cependant, la nature de la vulnérabilité est plus générale et il peut exister d'autres moyens de l'exploiter. »
Logiciels et versions concernés
- JDK 9 ou supérieur
- Apache Tomcat comme conteneur de servlet
- Emballé sous forme de fichier WAR traditionnel (contrairement à un fichier jar exécutable Spring Boot)
- Dépendance Spring-webmvc ou Spring-webflux
- Spring Framework versions 5.3.0 à 5.3.17, 5.2.0 à 5.2.19 et versions antérieures
Atténuation de « Spring4Shell »
- Mettez à jour immédiatement vers Spring Framework 5.3.18 et 5.2.20 ou version supérieure.
- Veuillez consulter notre Avis aux fournisseurs.
- Mettez à jour les solutions de sécurité réseau et les points de terminaison avec les dernières définitions.
Une vulnérabilité d'exécution de code à distance (CVE-2022-22963) a été identifiée dans les versions 3.1.6 et 3.2.2 de Spring Cloud Functions, ainsi que dans les fonctionnalités de routage antérieures. Les pirates peuvent l'exploiter en envoyant des expressions de routage SpEL spécialement conçues, permettant ainsi l'exécution de code à distance. Il est recommandé de mettre à jour les versions concernées vers les versions 3.1.7 et 3.2.3.
Seqrite Couverture médiatique de « Spring4Shell ».
Nous avons publié des règles IPS pour identifier et bloquer les attaques à distance exploitant Spring4Shell et d'autres vulnérabilités. Nous continuerons de suivre l'évolution de cette menace et de mettre à jour nos détections. Nous conseillons à nos clients d'appliquer régulièrement les correctifs à leurs systèmes et de maintenir leur logiciel antivirus à jour avec les dernières mises à jour VDB.
