Neue Schwachstelle in der Spring-Bibliothek: Wie Sie feststellen können, ob Sie gefährdet sind, und wie Sie damit umgehen sollten

Die Spring-Bibliothek, eine der derzeit beliebtesten Bibliotheken in der Java-Community, hat zwei Sicherheitslücken im Zusammenhang mit der Remote-Code-Ausführung (RCE) veröffentlicht. Um das Risiko einer Sicherheitslücke und die erforderlichen Maßnahmen leicht verständlich darzustellen, wurden die bekannten Details zu „Spring4Shell“ und „Spring Cloud Function“ kategorisiert.

Schwachstelle 1 – „Spring 4 Shell“ (CVE-2022-22965)

Am 29. März 2022 entdeckte die Community eine Reihe von Tweets mit Screenshots, die einen Proof-of-Concept-Exploit für Spring Core (SC) zeigten. Dadurch ist es möglich, in allen Versionen von Spring Core, einschließlich der zuletzt veröffentlichten Version 5.3.17, Remote-Code auszuführen.

Welche Anwendungen sind gefährdet?

Derzeit ist nur bekannt, dass Anwendungen, die auf Tomcat gehostet werden, von diesem neuen Exploit bedroht sind. Es gibt zwar keine Hinweise darauf, dass Angriffe auf andere Anwendungen, die nicht auf Tomcat gehostet werden, erfolgreich waren, aber das bedeutet nicht, dass solche Angriffe auf diese Frameworks in Zukunft nicht erfolgreich sein könnten.

Offizielle Erklärung zur Veröffentlichung von Spring Es wird erläutert, dass eine Schwachstelle gemäß dem aktuellen Verständnis der Schwachstelle die folgenden Bedingungen erfüllen muss, um als Schwachstelle zu gelten.

• JDK 9 oder höher
• Apache Tomcat als Servlet-Container
• Mit bestehendem WAR gepackt (im Gegensatz zu Spring Boot-ausführbarer JAR)
• Spring-webmvc oder Spring-webflux Abhängigkeit
• Spring Framework Versionen 5.3.0 bis 5.3.17, 5.2.0 bis 5.2.19 und frühere Versionen

Wie funktioniert der Exploit „Spring4Shell“?

Der Missbrauch hängt davon ab, dass in Anfragen, die allgemeine Java-Objekte (POJO) in der Methodensignatur verwenden, „Datenbindung” (org.SpringFramework.web.bind.WebDataBinder) verwendet wird.

Hier ist die Foo-Klasse eine POJO-Klasse und kann wie folgt definiert werden. Beachten Sie, dass die tatsächliche Klasse nicht wichtig ist, solange sie vom Klassenlader geladen wird.

Bei der Verarbeitung von Anfragen mit dieser Methode wird der Klassenlader zum Auflösen von Klassen verwendet. Der Klassenlader lädt Klassen zur Laufzeit, ohne zuvor alle möglichen Typen in den Speicher laden zu müssen. Bei der Verwendung einer neuen Klasse ermittelt er die zu ladende JAR-Datei.

Die aktuellsten und detailliertesten Informationen zu dieser Schwachstelle finden Sie direkt bei Spring. Blogbeitrag(einschließlich möglicher Korrekturen oder Lösungen)

Schwachstelle 2 – Spring Cloud Function (CVE-2022-22963)

Am 27. März 2022 veröffentlichte CyberKendra Details zu einer Zero-Day-Sicherheitslücke in Spring Cloud Functions, die eine Remote-Code-Ausführung (RCE) ermöglicht. Dieser Sicherheitslücke wurde die ID CVE-2022-22963 zugewiesen : Spring Expression Resource Access Vulnerability.

Welche Anwendungen sind gefährdet?

Diese Schwachstelle hat sich unter den folgenden Bedingungen auf die Anwendung ausgewirkt.

• JDK 9 oder höher
• Spring Cloud Functions Version 3.1.6 (oder niedriger), 3.2.2 (oder niedriger) oder nicht unterstützte Versionen

Wie erfolgt die Ausbeutung?

Spring Cloud Functions bietet Entwicklern die Möglichkeit, die Art und Weise zu konfigurieren, wie das Routing über die Eigenschaft „spring.cloud.function.routing-expression“ abgewickelt wird, die normalerweise über die Konfiguration oder den Code erfolgt. Dies ist eine leistungsstarke Funktion, die „Spring Expression Language“ (SpEL) akzeptiert. Wir haben festgestellt, dass diese Eigenschaft über den HTTP-Header der Anfrage festgelegt werden kann, was eine Zero-Day-Sicherheitslücke darstellt. Das bedeutet, dass ein Angreifer beliebigen Code ausführen kann, indem er SeL-Code direkt in eine HTTP-Anfrage an den RoutingFunction-Endpunkt einbettet.

Was sollten Benutzer tun, um das Risiko zu mindern?

In den öffentlichen Versionen 3.1.7 und 3.2.3 von Spring Hase wird dieses Problem behoben, indem die Möglichkeit, diese Eigenschaft über HTTP-Header festzulegen, deaktiviert wird, um die Schwachstelle zu beheben. Nach dem Upgrade auf eine der beiden Versionen sind keine weiteren Schritte erforderlich.

Möchten Sie mehr darüber erfahren, wie Sie Entwickler dabei unterstützen können, sichereren Code zu schreiben?Vereinbaren Sie eine Demo oder sehen Sie sich unseren kostenlosen Leitfaden für sicheres Codieren an : Security Code Coach.

‍

Quelle

• https://www.lunasec.io/docs/blog/spring-rce-vulnerabilities/
• https://www.rapid7.com/blog/post/2022/03/30/spring4shell-zero-day-vulnerability-in-spring-framework/

‍