Spring4Shell (cve - 2022 - 22965) FAQ: Spring框架远程代码执行漏洞

相关的常见问题列表Spring4Shell (cve - 2022 - 22965)。

站得住脚的Spring4Shell密切关注更新相关的研究。作为可用的更多信息,我们将会更新这个FAQ和额外的漏洞的详细信息,包括成立产品覆盖率。

关于Spring4Shell常见问题

Spring4Shell是什么?

Spring4Shell的昵称是一个零日漏洞的Spring核心框架编程和配置模型,基于java企业应用程序。

有一个CVE被分配给这个漏洞?

cve - 2022 - 22965已经分配给这个漏洞。

Log4Shell Spring4Shell相关吗?

而名称本身受到Log4Shell(cve - 2021 - 44228),这两个是不相关的。

有可供Spring4Shell补丁吗?

截至3月31日,Spring框架版本5.3.18和5.2.20已经释放。根据漏洞公告从弹簧,弹簧启动版本2.6.6和2.5.12(两者都依赖于Spring框架5.3.18)释放。

Spring4Shell有多严重?

攻击者可以利用Spring4Shell特别精心将请求发送给一个脆弱的服务器。然而,Spring4Shell开发需要一定的先决条件,而原Log4Shell脆弱性影响的所有版本的Log4j 2使用默认配置。

根据春天,漏洞报告包括下列条件,然而这篇文章警告说,可能还有其他的方法可以利用这可能不是一个完整的列表的需求在这个时间:

• Java开发工具包(JDK) 9或更高
• Apache Tomcat Servlet容器
• 包装成一场战争
• spring-webmvc或spring-webflux依赖

影响版本的Spring核心框架是什么?

截至3月31日,春季发布了版本5.3.18和5.2.20解决cve - 2022 - 22965。虽然没有明确指出是什么版本的影响在这个博客更新的时候,我们希望很快有更清晰和额外的信息将会更新这篇文章。

我的应用程序脆弱如果我使用JDK 9 +和Spring框架?

使用JDK 9 +和Spring框架在一起并不一定等同于Spring4Shell脆弱,当应用程序需要配置的方式对攻击者利用缺陷。例如,Spring建议开发人员在使用时指定allowedFields财产DataBinder类。研究人员已经证实没有指定这个属性可以使攻击者利用Spring4Shell易攻击的应用程序。

什么Spring4Shell与cve - 2010 - 1622吗?

执政官的研究人员已经证实Spring4Shell补丁旁路的cve - 2010 - 1622吗代码注入漏洞,Spring核心框架,据说固定近12年前。然而,研究人员说,修复cve - 2010 - 1622是不完整的和一个新的路径利用这个遗留缺陷存在。

Spring4Shell相关cve - 2022 - 22963吗?

不,这是两个完全不相关的漏洞。cve - 2022 - 22963春天是一个漏洞云功能,serverless框架通过函数实现业务逻辑。一个咨询cve - 2022 - 22963年出版3月29日和补丁春云功能是可用的。

因为没有CVE分配Spring4Shell当时的披露,Spring4Shell是错误的CVE - 2022 - 22963。

概念验证利用代码吗?

是的,有多个概念验证(PoC)利用可用的工作Spring4Shell和cve - 2022 - 22963。

站得住脚的产品受到Spring4Shell还是cve - 2022 - 22963 ?

基于当前信息4/1/2022 Spring4Shell (cve - 2022 - 22965)和cve - 2022 - 22963,成立产品不受影响。

Apache Tomcat作为先决条件,列出Tomcat团队发布的补丁吗?

是的,他们有。而cve - 2022 - 22965居住在Spring框架,Apache Tomcat团队发布了新版本的Tomcat“关闭攻击向量在Tomcat的一边在实例。“这是特别有用,一个不受支持的版本的Spring框架在使用Tomcat。

成立有任何产品覆盖Spring4Shell吗?

是的,请参考下面的确定影响系统部分的细节。如果你想了解更多的插件,请参考这篇文章站得住脚的社区。

确定影响系统

站得住脚的插件的列表来确定可以找到这个漏洞在这里。

为Web应用程序扫描的客户,我们已经更新后门检测插件检测tomcatwar。jsp shell文件。后门检测脚本可以用来识别web后门或web壳牌在web服务器上由于攻击者利用的漏洞。

插件ID 159374偏执和彻底的测试要求

Nessus插件ID 159374”, Spring框架< 5.2.20 / 5.3。x < 5.3.18远程代码执行(cve - 2022 - 22965)," users are required to启用“显示潜在的假警报”设置,也被称为偏执的模式,在扫描政策为了使这个插件扫描。此外,必须启用“执行彻底测试”设置。

我们也建议允许只在偏执扫描这个特定的插件。扫描策略配置为启用了所有插件的数量将增加触发器,它将包括所有的偏执在扫描插件。

使偏执和彻底的测试模式

启用该设置Nessus和站得住脚的。io用户:

• >一般>点击评估准确性
• 启用“显示潜在的假警报”选项
• 启用“执行彻底测试(可能会扰乱你的网络或影响扫描速度)”选项

启用该设置站得住脚的。sc(原名SecurityCenter)用户:

• 点击评估>准确性
• 点击下拉框,选择“偏执狂(更假警报)”
• 点击下拉框,选择“执行彻底测试(可能会扰乱你的网络或影响扫描速度)”

加入站不住脚的安全响应团队站得住脚的社区。

了解更多关于站得住脚的,第一个网络曝光平台整体管理的现代攻击表面。

得到一个天的免费试用站得住脚的。io脆弱性管理。