Une vulnérabilité critique du framework Java Spring Core de VMware, désignée sous le nom de « » CVE-2022-22965 (s'ouvre dans un nouvel onglet) ou Spring4Shell, a été révélée par un chercheur en sécurité avant la publication officielle du numéro CVE.
Le framework Spring est un framework open source largement utilisé qui offre un modèle complet de programmation et de configuration pour les applications d'entreprise modernes basées sur Java.
L'utilisation généralisée du framework Spring, la disponibilité publique du code d'exploitation et sa vulnérabilité à l'exécution de code à distance contribuent toutes à la note CVSS « critique » attribuée à cette vulnérabilité.
Qu'est-ce que le CVE-2022-22965 ?
La vulnérabilité CVE-2022-22965 , également appelée Spring4Shell , est une faille de sécurité du framework Spring Core Java qui pourrait permettre l'exécution de code à distance sans authentification dans les applications Spring MVC (s'ouvre dans un nouvel onglet) et Spring WebFlux (s'ouvre dans un nouvel onglet) fonctionnant sous JDK 9 ou une version ultérieure. Pour que cette faille puisse être exploitée, l'application vulnérable doit être exécutée sur Tomcat sous la forme d'un déploiement WAR.
Cette vulnérabilité exploite l'annotation `RequestMapping` utilisée dans le framework Spring et permet l'injection d'objets Java dans des gestionnaires de requêtes légitimes, ce qui ouvre la voie à l'injection de commandes `curl` malveillantes susceptibles de modifier les propriétés de journalisation de Tomcat, ainsi qu'au téléchargement de « webshells » dans le répertoire racine du serveur Tomcat vulnérable.
Quels sont les systèmes vulnérables à la faille Spring4Shell ?
Les conditions énumérées ci-dessous doivent être remplies pour exploiter une application Java fonctionnant sous Spring Framework :
- JDK 9 ou version ultérieure
- Apache Tomcat en tant que conteneur de servlets
- Sous forme de fichier WAR
- dépendance « spring-webmvc » ou « spring-webflux »
Produits et versions concernés :
- Spring Framework
- 5,3,0 à 5,3,17
- 5,2,0 à 5,2,19
- Les versions plus anciennes, qui ne sont plus prises en charge, sont également concernées
Pourquoi cela devrait-il vous intéresser ?
Le code de validation de concept pour la faille CVE-2022-22965 est largement accessible et risque fort d'être exploité à des fins malveillantes par des acteurs malveillants. Dans certaines configurations, l'exploitation de la faille Spring4Shell nécessite uniquement qu'un attaquant envoie une requête HTTP spécialement conçue à un système vulnérable. En cas de réussite, un attaquant non authentifié serait en mesure d'exécuter du code arbitraire sur le système cible.
En raison de l'utilisation très répandue du framework Spring et de la gravité de la vulnérabilité, celle-ci (n° CVE-2022-22965 ) s'est vu attribuer le niveau « critique » (score CVSS de 9,8).
Comment Tanium peut vous aider
VMWare recommande aux clients concernés de passer à la version 5,3,18 ou supérieure, ou à la version 5,2,20 ou supérieure, en fonction des exigences de leurs applications. Les solutions de contournement destinées aux clients qui ne sont pas en mesure de procéder à la mise à jour pour le moment sont présentées dans l'article de blog intitulé « : Spring Framework RCE, Early Announcement ». (s'ouvre dans un nouvel onglet)
Tanium propose plusieurs outils permettant à ses clients d'identifier rapidement et facilement les ressources affectées par la vulnérabilité Spring4Shell , d'y remédier et d'assurer le suivi de cette vulnérabilité.
La solution Tanium Interact permet d'identifier les systèmes susceptibles d'être vulnérables au sein de l'entreprise. Cela permet aux intervenants de poser des questions à leurs terminaux et d'obtenir des réponses rapides et complètes.
La fonctionnalité « Recherche rapide » ( ) de Tanium Reveal, disponible sur , permet d'identifier rapidement les cibles potentielles à examiner de plus près.
Compte tenu de la nature dynamique des environnements de terminaux actuels, nous vous invitons à consulter (Tanium Asset ) et (Tanium Trends ) pour un suivi continu. Tanium Asset fournit un inventaire complet des ressources matérielles et logicielles, tandis que Tanium Trends offre une visibilité en continu sur les indicateurs de sécurité et l'état de santé opérationnel.
Veuillez consulter cet article pour obtenir davantage d'informations de la part de notre communauté Tanium sur la manière d'utiliser ces produits pour détecter, corriger et suivre les vulnérabilités ( CVE-2022-22965). Et pour obtenir des informations utiles concernant des vulnérabilités similaires, rendez-vous sur notre blog « Emerging Issues » à l'adresse .
