-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : 0day kwetsbaarheid ontdekt in Spring Core Framework
Advisory ID     : NCSC-2022-0221
Versie          : 1.00
Kans            : high
CVE ID          :
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  (Remote) code execution (Administrator/Root rechten)
                  Toegang tot gevoelige gegevens
Uitgiftedatum   : 20220331
Toepassing      : VMware Spring Framework
Versie(s)       : <= 5.3.17
Platform(s)     :

Beschrijving
   Er is een kwetsbaarheid ontdekt in Spring Core Framework. Spring
   Core Framework is een set van Java libraries waarmee op
   gestructureerde wijze applicaties kunnen worden ontwikkeld die
   vervolgens zowel standalone kunnen draaien of in
   webapplicatie-omgevingen als Tomcat.

   Een kwaadwillende kan de kwetsbaarheid misbruiken om willekeurige
   code uit te voeren in de scope van de ontwikkelde applicatie, en
   mogelijk daarmee toegang kan krijgen tot gevoelige informatie binnen
   die applicatie. Omdat niet valt vast te stellen met welke rechten de
   applicatie actief is, kan misbruik van deze kwetsbaarheid mogelijk
   leiden tot de uitvoer van willekeurige code met verhoogde rechten op
   het onderliggende systeem.

   Voor deze kwetsbaarheid is nog geen CVE-kenmerk bekend gesteld.
   Om onderscheid te maken heeft deze kwetsbaarheid de naam
   "Spring4Shell" gekregen.

   Deze kwetsbaarheid is een andere dan de kwetsbaarheid in Spring
   Cloud Function (CVE-2022-22963) waarvoor het NCSC beveiligingsadvies
   NCSC-2022-0220 heeft uitgebracht. Doordat beide kwetsbaarheden zeer
   kort op elkaar zijn gepubliceerd, is hier veel verwarring over
   ontstaan.

   Inmiddels is Proof-of-Concept code verschenen waarmee de
   kwetsbaarheid kan worden aangetoond, maar nog niet misbruikt. Er
   worden echter (nog onbevestigde) meldingen gemaakt dat er pogingen
   worden ondernomen om deze kwetsbaarheid actief te misbruiken.
   Vooralsnog zijn nog geen geslaagde pogingen waargenomen. Dit heeft
   vooral te maken met het feit dat er aan diverse randvoorwaarden moet
   worden voldaan, zoals JDK versie 9 of hoger, het gebruiken van
   Spring Beans, Spring Parameter Binding en die binding moet
   geconfigureerd zijn om van niet standaard types als POJO gebruik te
   maken.

Mogelijke oplossingen
   De kwetsbaarheid betreft een zogeheten 0day-kwetsbaarheid en er zijn
   (nog) geen updates beschikbaar om de kwetsbaarheid te verhelpen.
   Wel zijn diverse mitigerende maatregelen gepubliceerd door
   beveiligingsonderzoekers. De mitigerende maatregelen die op dit
   moment beschikbaar zijn gesteld vereisen aanpassingen aan de code
   van de getroffen applicatie.

   Zo kan een aanval, die in een serie van stappen moet worden
   uitgevoerd, worden gestopt door blacklisting toe te passen op de
   functie DataBinder.
   Informatie hierover kan worden verkregen via onderstaande link:

   https://www.lunasec.io/docs/blog
      /spring-rce-vulnerabilities#applying-mitigations

   Het NCSC houdt de ontwikkelingen in de gaten en werkt waar nodig dit
   beveiligingsadvies bij.

Hyperlinks
   https://isc.sans.edu/forums/diary
      /Java+Springtime+Confusion+What+Vulnerability+are+We+Talking+Abou
      t/28500/
   https://www.bleepingcomputer.com/news/security
      /new-spring-java-framework-zero-day-allows-remote-code-execution/
   https://www.lunasec.io/docs/blog/spring-rce-vulnerabilities/

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8
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=4Ove
-----END PGP SIGNATURE-----