Java Spring 框架緊急修補RCE Spring4shell漏洞

又有一個Java遠端程式執行漏洞出現了,這個漏洞出現在被廣泛運用的Spring框架中。該漏洞被追蹤為CVE-2022-22963,是Spring Cloud中的一個Spring表達式語言(Spring Expression language,SpEL)漏洞。當部署Spring到Apache Tomcat時,可以存取WebAppClassLoader的功能,這允許攻擊者調用getter和setter指令,最終將一個惡意的JSP文件寫入硬碟。

JDK9+上的Spring Core是漏洞所在,Praetorian團隊已經發布了一個緩解措施,替代無法應用Spring發佈的修復方案。 Spring團隊還指出,該漏洞與先前停止更新SerializationUtils的決定無關。

Jeff Costlow警告說:「我們已經有了關於這個漏洞的掃描報告,這是一個可以通過HTTP或HTTPS存取遠端程式的零時差漏洞,利用完備的POC只是時間問題。」這個遠端程式執行漏洞具有巨大的潛在影響,這一切都取決於不肖人士能以多快的速度對漏洞進行偵察,並加入他們的攻擊手冊中。全球有30億台設備使用Java,因此這完全有可能成為被駭客利用的戰術,且是一種沈默但致命的戰術。

雖然Spring在修補方面的動作非常快,但這仍然是用戶應承擔的責任。公司的資安長(CISO)需要對漏洞進行定期評估,因為沒有供應商會替他們定期檢查。此外,也會有許多組織在不知情的情況下購買了使用Spring框架的應用程式,而供應商將要迅速地伸出援手,通知他們需要修補漏洞。

Spring是一個很受歡迎的框架,但這個漏洞提醒我們,必須了解應用程式間的依賴性,以及如何使用這些依賴關係。雖然開放原始碼是軟體世界的基石,但這個漏洞又一次照亮了在層層錯雜的程式相依架構下,資安層面中一個無所不在的問題。

相關連結:

Richard Speed(2022). Patch now: RCE Spring4shell hits Java Spring framework. TheRegister. 

檢自:

https://www.theregister.com/2022/03/31/spring_vuln/ (Apr. 11, 2022)

回到頂端