CVE-2022-22965
Fecha: 30 de marzo de 2022
Nivel de Impacto: Crítico
Este descubrimiento fue realizado por Trend Micro Threat Research, quien observó la explotación activa de la vulnerabilidad Spring4Shell asignada como CVE-2022-22965; también llamada Spring4Shell o SpringShell, las cuales permiten llegar a ejecutar un código mediante forma remota en una secuencia de peticiones con el protocolo de Transferencia de Hipertexto (HTTP).
Recientemente en los grupos y comunidades de seguridad ofensiva divulgaron el término Spring4shell, siendo esta vulnerabilidad de alto impacto por el riesgo operativo, complejidad y la aplicación de medidas. Esta vulnerabilidad permite la ejecución de código remoto y afecta versiones 5.3.0 a 5.3.17, 5.2.0 a 5.2.19 y versiones posteriores de Spring Framework (Java), un framework que se utiliza generalmente para desarrollar aplicaciones y servicios web.
Varias empresas como VMware, Cisco, Red Hat, SolarWinds y SAP, se han identificado como aquellos que estarían afectados por la vulnerabilidad, ya que estos utilizan framework de código abierto para la creación de aplicaciones empresariales Java.
Aquellas empresas afectadas por la vulnerabilidad se les creó e integró parches con el fin de corregir errores, agregar funcionalidades al programa, entre otros.
Principales Características:
➔ Permite la ejecución de código remoto en la aplicación afectada.
➔ Es auto sostenible, lo que puede llegar a comprometer la confidencialidad, integridad y disponibilidad de los datos que suelen ser gestionados por una aplicación vulnerable.
➔ Realiza afectaciones en aquellas funciones que hacen uso de la anotación que se encarga de relacionar un método con una petición con el (HTTP) Protocolo de transferencia de hipertexto, siendo este el protocolo de comunicación que permite las transferencias de información a través de archivos en la World Wide Web, lo que no solamente puede implicar que tengamos un solo controlador.
Cómo protegerte de Spring4Shell:
✔ Cualquiera que use Spring Framework debe actualizar a las versiones seguras 5.3.18 o 5.2.20.
✔ Revisar el apache ya que Software Foundation también ha lanzado versiones parcheadas de Apache Tomcat 10.0.20, 9.0.62 y 8.5.78.
✔ Los desarrolladores de Spring también han lanzado versiones parcheadas de las extensiones Spring Boot 2.5.12 y 2.6.6 que dependen de la versión parcheada de Spring Framework 5.3.18.
✔ Si por algún motivo no puedes actualizar el software anterior, debes utilizar una de las soluciones alternativas publicadas en el sitio web oficial de Spring.
