Un investigador de seguridad ha revelado una vulnerabilidad crítica en el marco Spring Core Java de VMware, denominada « » CVE-2022-22965 (se abre en una nueva pestaña), o Spring4Shell, antes de su publicación oficial como CVE.
El Spring Framework es un marco de trabajo de código abierto muy utilizado que ofrece un modelo integral de programación y configuración para aplicaciones empresariales modernas basadas en Java.
El uso generalizado del Spring Framework, la disponibilidad pública de código de explotación y su vulnerabilidad a la ejecución remota de código contribuyen a la calificación CVSS «crítica» asignada a esta vulnerabilidad.
¿Qué es el CVE-2022-22965?
La vulnerabilidad CVE-2022-22965 , también denominada Spring4Shell , es una vulnerabilidad del marco Spring Core Java que podría permitir la ejecución remota de código sin autenticación en Spring MVC (se abre en una nueva pestaña) y Spring WebFlux (se abre en una nueva pestaña) aplicaciones que se ejecutan en JDK 9 o superior. Para que la vulnerabilidad se pueda explotar, es necesario que la aplicación vulnerable se ejecute en Tomcat como una implementación WAR.
La vulnerabilidad aprovecha la anotación `RequestMapping` utilizada en el marco Spring y permite la inyección de objetos Java en controladores de solicitudes legítimos, lo que abre la puerta a la inyección de comandos `curl` maliciosos capaces de modificar las propiedades de registro de Tomcat y a la subida de «webshells» al directorio raíz del servidor Tomcat afectado.
¿Qué sistemas son vulnerables al Spring4Shell?
Para poder utilizar una aplicación Java que se ejecute en Spring Framework, deben cumplirse las condiciones que se enumeran a continuación:
- JDK 9 o superior
- Apache Tomcat como contenedor de servlets
- Empaquetado como WAR
- Dependencia de spring-webmvc o spring-webflux
Productos y versiones afectados:
- Spring Framework
- De 5.3.0 a 5.3.17
- De 5.2.0 a 5.2.19
- Las versiones más antiguas, que ya no reciben soporte, también se ven afectadas
¿Por qué debería importarle?
El código de prueba de concepto para « CVE-2022-22965 » está ampliamente disponible y es probable que los actores maliciosos lo utilicen con fines maliciosos. En determinadas configuraciones, para aprovechar la vulnerabilidad Spring4Shell basta con que un atacante envíe una solicitud HTTP especialmente diseñada a un sistema vulnerable. De tener éxito, un atacante no autenticado podría ejecutar código arbitrario en el sistema de destino.
Debido al uso generalizado del Spring Framework y a la gravedad de la vulnerabilidad, a la vulnerabilidad CVE-2022-22965 se le ha asignado una calificación de «crítica» (puntuación CVSS de 9.8).
Cómo puede ayudarle Tanium
VMWare recomienda a los clientes afectados que actualicen a la versión 5.3.18 o superior, o a la versión 5.2.20 o superior, en función de los requisitos de la aplicación. Las soluciones provisionales para los clientes que no puedan actualizar en este momento se detallan en la entrada del blog «: Spring Framework RCE, Early Announcement». (se abre en una nueva pestaña)
Tanium dispone de varias herramientas que pueden ayudar a los clientes a localizar de forma rápida y sencilla los activos afectados por la vulnerabilidad Spring4Shell , a subsanarla y a realizar un seguimiento de la misma.
Tanium Interact puede utilizarse para identificar los sistemas que puedan ser vulnerables en toda la empresa. Ofrece a los responsables de la respuesta la posibilidad de formular preguntas a sus terminales y recibir respuestas rápidas y exhaustivas.
La función «Búsqueda rápida» ( ) de Tanium Reveal, de , permite identificar rápidamente posibles objetivos para una investigación más exhaustiva.
Dada la naturaleza dinámica de los entornos de terminales actuales, le recomendamos que consulte (Tanium Asset ) y (Tanium Trends ) para realizar un seguimiento continuo. Tanium Asset ofrece un inventario completo de los activos de hardware y software, mientras que Tanium Trends proporciona información continua sobre los indicadores de seguridad y el estado operativo.
Le rogamos que lea este artículo para obtener más información de nuestra comunidad de Tanium sobre cómo utilizar estos productos para detectar, aplicar parches y realizar un seguimiento de CVE-2022-22965. Y si desea obtener información que le ayude a hacer frente a vulnerabilidades similares, visite nuestro blog «Emerging Issues» en .
